CVE-2023-30609

Orta

Açıklama

matrix-react-sdk, bir web sayfasına Matrix sohbet/VoIP istemcisi eklemek için kullanılan React tabanlı bir SDK'dır. Versiyon 3.71.0 öncesinde, HTML etiketleri içeren düz metin mesajları arama sonuçlarında HTML olarak işlenmektedir. Bunu istismar etmek için bir saldırganın, kullanıcıyı HTML enjeksiyonu yükü içeren belirli bir mesajı aramaya ikna etmesi gerekir. Sabit kodlanmış içerik güvenlik politikası nedeniyle siteler arası betik çalıştırma (XSS) saldırısı mümkün değildir. SDK'nın 3.71.0 versiyonu bu sorunu gidermektedir. Geçici bir çözüm olarak, istemcinin yeniden başlatılması HTML enjeksiyonunu temizleyecektir.

ÖnemOrta

CVSS5.4

İstismar olasılığı—

ÜrünMatrix-react-sdk

Yayın25 Nis 2023

İlk görülme25 Nis 2023

Zayıflık türüCWE-74Enjeksiyon

Nasıl düzeltilir

Güncelleyin

matrix-react-sdk_project matrix-react-sdk3.71.0 ya da sonraki bir sürüm
matrix-react-sdk3.71.0 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
matrix-react-sdk_project matrix-react-sdk	v < 3.71.0	3.71.0
matrix-react-sdknpm	v < 3.71.0	3.71.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.