CVE-2023-26447
Açıklama
Portal için "upsell" widget'ı bir ürün açıklaması belirtilmesine olanak tanır. Kullanıcı tarafından kontrol edilebilen bir jslob'dan alınan bu açıklama, DOM'a eklenmeden önce kaçış karakterleriyle etkisiz hale getirilmemiştir. Kötü amaçlı betik kodu, mağdurun bağlamında çalıştırılabilir. Bu durum oturum ele geçirmeye veya web arayüzü ve API aracılığıyla istenmeyen eylemlerin tetiklenmesine yol açabilir. Bunu istismar etmek için bir saldırganın kullanıcının hesabına geçici erişim elde etmesi veya bir kullanıcıyı ele geçirilmiş bir hesaba yönlendirmesi gerekir. Artık jslob içeriğini temizliyoruz. Bilinen herkese açık istismar yoktur.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| open-xchange open-xchange_appsuite_frontend | v ≤ 7.10.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.