CVE-2023-30538
Açıklama
Discourse, topluluk tartışmaları için açık kaynaklı bir platformdur. SVG dosyalarının uygun şekilde temizlenmemesi nedeniyle, bir saldırgan özel olarak hazırlanmış bir SVG dosyası yükleyerek kullanıcıların tarayıcılarında rastgele JavaScript çalıştırabilir. Bu sorun, Discourse'un en son kararlı ve testleri geçmiş sürümlerinde düzeltilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar için iki olası geçici çözüm bulunmaktadır: yüklemelerin CDN tarafından yönetilmesini etkinleştirmek (ve CDN'in SVG dosyalarını temizlediğinden emin olmak) veya `authorized extensions` site ayarının `svg` uzantısını içermediğinden emin olarak (veya bu ayarı varsayılana sıfırlayarak; varsayılan olarak Discourse, kullanıcılar tarafından SVG yüklemelerini etkinleştirmez) SVG dosyası yüklemelerini devre dışı bırakmak.
Nasıl düzeltilir
- discourse discourse3.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| discourse discourse | v ≤ 3.0.2, v < 3.1.0, 3.1.0 | 3.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.