CVE-2023-23627
Açıklama
Sanitize, izin listesi tabanlı bir HTML ve CSS temizleyicisidir. 5.0.0 ve sonrası, 6.0.1 öncesi sürümler siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. Sanitize, `noscript` öğelerine izin veren özel bir izin listesiyle yapılandırıldığında, saldırganlar rastgele HTML ekleyebilir; bu durum, söz konusu HTML bir tarayıcıda işlendiğinde XSS veya diğer istenmeyen davranışlara yol açar. Varsayılan yapılandırmalar `noscript` öğelerine izin vermez ve zafiyet içermez. Bu sorun yalnızca element izin listesine `noscript` ekleyen özel bir yapılandırma kullanan kullanıcıları etkiler. Bu sorun 6.0.1 sürümünde düzeltilmiştir. Yükseltme yapamayan kullanıcılar, Sanitize'ın varsayılan yapılandırmalarından birini kullanarak veya özel yapılandırmalarının element izin listesinde `noscript` bulunmadığından emin olarak bu sorunu önleyebilirler.
Nasıl düzeltilir
- sanitize_project sanitize6.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sanitize_project sanitize | 5.0.0 ≤ v < 6.0.1 | 6.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.