CVE-2023-23619
Açıklama
Modelina; AsyncAPI, OpenAPI veya JSON Schema belgeleri gibi girdilere dayalı veri modelleri oluşturmak için kullanılan bir kütüphanedir. 1.0.0 öncesindeki sürümler Kod enjeksiyonuna karşı savunmasızdır. Bu sorun, varsayılan ön ayarları kullanan ve/veya işlevselliği kendisi yönetmeyen herkesi etkilemektedir. Bu sorun 1.0.0 sürümünde kısmen giderilmiştir; geliştiricinin GitHub Security Advisory (GHSA) bildiriminde "Kullanıcıların orijinal ham bilgilere erişimi olduğu için buna karşı tamamen korunmak imkansızdır. Ancak, sürüm 1 itibarıyla yalnızca kısıtlanmış modellere erişirseniz bu sorunla karşılaşmazsınız. Benzer diğer durumlar güvenlik sorunu olarak değil, amaçlanan davranış olarak görülmektedir" ifadesine yer verilmiştir. Geliştiriciler tarafından önerilen geçici çözüm ise "kullanıcı girdisini kaçırabilen (escape), tüm oluşturma sürecini değiştiren tamamen özel ön ayarlar kullanılmasıdır."
Nasıl düzeltilir
- lfprojects modelina1.0.0 ya da sonraki bir sürüm
- @asyncapi/modelina1.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lfprojects modelina | v < 1.0.0 | 1.0.0 |
| @asyncapi/modelinanpm | v < 1.0.0 | 1.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.