CVE-2022-30999
Açıklama
FriendsofFlarum (FoF) Upload, forumunuz için dosya yüklemelerini akıllıca yöneten bir eklentidir. Eğer versiyon 1.2.3 öncesindeki FoF Upload, SVG dosyalarının ('image/svg+xml') yüklenmesine izin verecek şekilde yapılandırılmışsa, doğrudan bir SVG dosyası URI'sine gitmek, saldırgan tarafından belirlenen rastgele Javascript kodlarının çalıştırılmasına neden olabilir. Bu Javascript kodu, Flarum'a veya başka herhangi bir web servisine yönelik HTTP web isteklerinin yürütülmesini içerebilir. Bu durum, kimliği doğrulanmış bir Flarum kullanıcısı tarafından verilerin sızdırılmasına veya muhtemelen verilerin kötü niyetli olarak değiştirilmesine olanak tanıyabilir. Bu sorun, yüklenen SVG dosyalarını artık sanitize eden v1.2.3 ile düzeltilmiştir. Geçici bir çözüm olarak, kullanıcıların FoF Upload üzerinden SVG dosyaları yükleme yetkisi kaldırılmalıdır.
Nasıl düzeltilir
- friendsofflarum upload1.2.3 ya da sonraki bir sürüm
- fof/upload1.2.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| friendsofflarum upload | v < 1.2.3 | 1.2.3 |
| fof/uploadPackagist | v < 1.2.3 | 1.2.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.