CVE-2022-45064
Açıklama
SlingRequestDispatcher, RequestDispatcher API'sini doğru şekilde uygulamamaktadır; bu durum Apache Sling düzeyinde genel tipte include tabanlı siteler arası betik çalıştırma (XSS) sorunlarına yol açmaktadır. Zafiyet, belirli bir content-type ile kaynak ekleyebilen ve include yolunu kontrol edebilen (örneğin içerik yazabilen) bir saldırgan tarafından istismar edilebilir. Başarılı bir saldırının etkisi, yönetici yetkilerine kadar uzanan bir yetki yükseltmedir. Lütfen Apache Sling Engine >= 2.14.0 sürümüne güncelleyin ve "Check Content-Type overrides" yapılandırma seçeneğini etkinleştirin.
Nasıl düzeltilir
- apache apache_sling_engine2.14.0 ya da sonraki bir sürüm
- org.apache.sling:org.apache.sling.engine2.14.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache apache_sling_engine | v < 2.14.0 | 2.14.0 |
| org.apache.sling:org.apache.sling.engineMaven | v < 2.14.0 | 2.14.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.