CVE-2022-30120
Açıklama
/dashboard/blocks/stacks/view_details/ konumunda XSS - yalnızca eski tarayıcılar. Yerleşik XSS koruması devre dışı bırakılmış eski bir tarayıcı kullanıldığında, oluşturulan URL'lerin çıktılandığı yerlerdeki yetersiz temizleme işlemi; Concrete 8.5.7 ve altı ile Concrete 9.0 ile 9.0.2 arasındaki sürümlerde XSS'e izin verecek şekilde istismar edilebilir. Otomatik giriş kaçış mekanizması nedeniyle bu durum günümüzün modern web tarayıcılarında istismar edilemez. Concrete CMS Güvenlik ekibi, bu zafiyeti CVSS v3.1 Vector AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N ile 3.1 olarak derecelendirmiştir. Oluşturulan URL'lerin çıktılandığı yerlere temizleme işlemi eklenmiştir. Bildirim için FORTBRIDGE'den (https://www.fortbridge.co.uk/) Bogdan Tiron'a teşekkürler.
Nasıl düzeltilir
- concretecms concrete_cms8.5.8, 9.1.0 ya da sonraki bir sürüm
- concrete5/core9.1.0, 8.5.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | v < 8.5.8, 9.0.0 ≤ v < 9.1.0 | 8.5.8, 9.1.0 |
| concrete5/corePackagist | 9.0.0 ≤ v < 9.1.0, v < 8.5.8 | 9.1.0, 8.5.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.