CVE-2022-39350

@dependencytrack/frontend, kuruluşların yazılım tedarik zincirindeki riskleri belirlemesine ve azaltmasına olanak tanıyan açık kaynaklı bir Bileşen Analizi platformu olan Dependency-Track'te kullanılan bir Tek Sayfa Uygulamasıdır (SPA). Zafiyet detaylarının markdown formatında sunulması yaygın bir uygulama olduğu için, Dependency-Track ön yüzü bunları Showdown JavaScript kütüphanesini kullanarak işlemektedir. Showdown yerleşik herhangi bir XSS karşı önlemine sahip değildir ve Dependency-Track ön yüzünün 4.6.1 öncesi sürümleri Showdown çıktısını kodlamamış veya temizlememiştir. Bu durum, HTML öznitelikleri aracılığıyla zafiyet detaylarına dahil edilen rastgele JavaScript kodlarının ön yüz bağlamında çalıştırılmasını mümkün kılmıştır. `VULNERABILITY_MANAGEMENT` iznine sahip aktörler, özel bir zafiyet oluşturarak veya düzenleyerek; Açıklama (Description), Detaylar (Details), Öneri (Recommendation) veya Referanslar (References) alanlarından herhangi birinde XSS yükleri sağlayarak bu zayıflığı istismar edebilirler. Yük, `VIEW_PORTFOLIO` iznine sahip kullanıcılar değiştirilen zafiyetin sayfasını ziyaret ettiğinde çalıştırılacaktır. Alternatif olarak, kötü amaçlı JavaScript kodu, Dependency-Track tarafından aynalanan zafiyet veritabanlarının herhangi biri üzerinden getirilebilir. Ancak, bu saldırı vektörü oldukça düşük bir olasılıktır ve Dependency-Track yöneticileri böyle bir durumun gerçekleştiğine dair herhangi bir bilgiye sahip değildir. Proje görünümündeki `Audit Vulnerabilities` sekmesinin `Vulnerability Details` öğesinin etkilenmediğini unutmayın. Sorun, ön yüz sürümü 4.6.1 ile düzeltilmiştir.