CVE-2022-39348
Açıklama
Twisted, internet uygulamaları için olay tabanlı bir çerçevedir. Versiyon 0.9.4 ile başlayan süreçte, host başlığı yapılandırılmış bir host ile eşleşmediğinde `twisted.web.vhost.NameVirtualHost`, Host başlığını kaçış karakterleri olmadan 404 yanıtına işleyen bir `NoResource` kaynağı döndürerek HTML ve betik enjeksiyonuna izin verir. Pratikte bunun istismar edilmesi oldukça zordur çünkü normal bir HTTP isteğinin Host başlığını değiştirebilmek, kişinin zaten ayrıcalıklı bir konumda olduğu anlamına gelir. Bu sorun versiyon 22.10.0rc1'de düzeltilmiştir. Bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- twisted twisted22.10.0 ya da sonraki bir sürüm
- twisted22.10.0rc1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| twisted twisted | 0.9.4 ≤ v < 22.10.0 | 22.10.0 |
| debian debian_linux | 10.0 | — |
| twistedPyPI | 0.9.4 ≤ v < 22.10.0rc1 | 22.10.0rc1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.