CVE-2023-30548

gatsby-plugin-sharp, Sharp görüntü işleme kütüphanesi üzerine kurulu fonksiyonlar sunan gatsby framework eklentisidir. 5.8.1 ve 4.25.1 versiyonlarından önceki gatsby-plugin-sharp eklentisi, Gatsby geliştirme sunucusu (`gatsby develop`) çalıştırıldığında ortaya çıkan bir path traversal zafiyeti içermektedir. Varsayılan olarak gatsby develop'ın yalnızca localhost 127.0.0.1 üzerinden erişilebilir olduğu ve bu zafiyetten yararlanmak için --host 0.0.0.0, -H 0.0.0.0 gibi sunucu seçenekleri veya GATSBY_HOST=0.0.0.0 ortam değişkeni kullanılarak sunucunun kasıtlı olarak diğer arayüzlere açılması gerektiği unutulmamalıdır. Bu zafiyeti istismar eden saldırganlar, sunucu sürecinin kapsamındaki tüm dosyalara okuma erişimine sahip olacaktır. [email protected] ve [email protected] sürümlerinde, dahil edilen yolların proje dizini içinde kalmasını sağlayarak sorunu gideren bir yama yayınlanmıştır. Yukarıda belirtildiği üzere, varsayılan olarak gatsby develop yalnızca localhost 127.0.0.1'e açıktır. Geliştirme sunucusunu varsayılan yapılandırmada kullananlar için herhangi bir risk oluşturmamaktadır. Diğer aralıkların gerekli olması durumunda, geliştirme sunucusunun güvenilmeyen arayüzlere veya IP adresi aralıklarına açılmasının önlenmesi, bu zafiyetten kaynaklanan riski azaltacaktır. Buna rağmen kullanıcıların güvenli bir sürüme yükseltmeleri önerilir.