CVE-2022-41947
Açıklama
DHIS 2; veri yakalama, yönetim, doğrulama, analiz ve görselleştirme için açık kaynaklı bir bilgi sistemidir. DHIS2'nin çeşitli özellikleri aracılığıyla, kimliği doğrulanmış bir kullanıcı gömülü javascript içeren bir dosya yükleyebilir. Kullanıcı daha sonra potansiyel olarak başka bir kimliği doğrulanmış kullanıcıyı, tarayıcıda kötü amaçlı dosyayı açmaya ikna ederek javascript kodunun tetiklenmesine neden olabilir ve bu durum bir siteler arası betik çalıştırma (XSS) saldırısıyla sonuçlanabilir. DHIS2 yöneticileri şu hotfix sürümlerine yükseltme yapmalıdır: 2.36.12.1, 2.37.8.1, 2.38.2.1, 2.39.0.1. Yükseltme yapamayan kullanıcılar, web proxylerinde savunmasız uç noktalara şu basit CSP kuralını ekleyebilir: `script-src 'none'`. Bu geçici çözüm, söz konusu uç noktalarda tüm javascriptlerin çalışmasını engelleyecektir.
Nasıl düzeltilir
- dhis2 dhis_22.36.12.1, 2.37.8.1, 2.38.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dhis2 dhis_2 | 2.35.0 ≤ v < 2.36.12.1, 2.37.0 ≤ v < 2.37.8.1, 2.38.0 ≤ v < 2.38.2.1, 2.39.0 | 2.36.12.1, 2.37.8.1, 2.38.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.