CVE-2022-39239
Açıklama
netlify-ipx, ipx kullanan Netlify için isteğe bağlı bir görüntü optimizasyonudur. 1.2.3 öncesindeki sürümlerde, bir saldırgan özel olarak hazırlanmış başlıklar göndererek kaynak görüntü alan adı izin listesini atlayabilir ve bu durum işleyicinin rastgele görüntüleri yüklemesine ve döndürmesine neden olabilir. Yanıt küresel olarak önbelleğe alındığı için, bu görüntü daha sonra söz konusu başlıkların ayarlanmasına gerek kalmadan ziyaretçilere sunulacaktır. Betikler içeren kötü amaçlı bir SVG talep edilerek XSS gerçekleştirilebilir ve bu SVG daha sonra site alan adından sunulur. Betikler bu bağlamda çalışmadığından, bunun `<img>` etiketlerinde yüklenen görüntüler için geçerli olmadığına dikkat edilmelidir. Görüntü URL'si, istek URL'sinden bağımsız olarak başlıkta ayarlanabilir; bu da daha önce önbelleğe alınmamış herhangi bir site görüntüsünün önbelleğinin zehirlenebileceği anlamına gelir. Bu sorun 1.2.3 sürümünde düzeltilmiştir. Geçici bir çözüm olarak, sitenin yeniden dağıtılmasıyla önbelleğe alınan içerik temizlenebilir.
Nasıl düzeltilir
- nuxtjs netlify-ipx1.2.3 ya da sonraki bir sürüm
- @netlify/ipx1.2.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nuxtjs netlify-ipx | v < 1.2.3 | 1.2.3 |
| @netlify/ipxnpm | v < 1.2.3 | 1.2.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.