CVE-2023-30614
Açıklama
Pay, Ruby on Rails 6.0 ve üzeri sürümler için bir ödeme motorudur. 6.3.2 öncesi sürümlerde Pay'in ödeme bilgisi sayfası yansıtılmış siteler arası betik çalıştırma (XSS) açığına karşı savunmasızdır. Bir saldırgan, Pay'i entegre eden bir Rails uygulamasında kullanıcıya javascript bağlantısı görüntüleyen çalışan bir URL oluşturabilir. Bu URL, belirli kişileri hedef almak amacıyla e-posta yoluyla dağıtılabilir. Hedeflenen uygulama kullanıcı tarafından oluşturulan içeriğin (örneğin yorumlar) gönderilmesine yönelik bir işlevsellik içeriyorsa, saldırgan URL'yi bu işlevselliği kullanarak dahi dağıtabilir. Bu açık 6.3.2 ve üzeri sürümlerde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu açık için bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- pay_project pay6.3.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pay_project pay | v < 6.3.2 | 6.3.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.