CVE-2023-32312
Açıklama
UmbracoIdentityExtensions, ASP.Net Identity entegrasyonu için kolay genişletilebilirlik noktaları sağlayan bir Umbraco eklenti paketidir. Etkilenen sürümlerde istemci sırları (client secrets) zorunlu değildir, bu durum bazı uç noktaların güvenilmeyen aktörlere açık hale gelmesine neden olabilir. Umbraco tek sayfalık bir uygulama olmadığı için örtük akış (implicit flow) güvenli değildir. Geleneksel MVC uygulamaları için, istemcinin bir istemci sırrı kullanarak yetkilendirme sunucusunda kimlik doğrulaması yapmasını gerektiren yetkilendirme kodu akışının (authorization code flow) kullanılması önerilir. Bu akış, belirteçleri doğrudan URL parçacığında döndürmek yerine, bir yetkilendirme kodunun erişim belirteci ve/veya kimlik belirteci ile takas edilmesini içerdiğinden daha iyi güvenlik sağlar. Bu sorun `e792429f9` commit'i ile düzeltilmiştir ve Nuget sürümü beklenmektedir. Kullanıcıların mümkün olduğunda yükseltme yapmaları önerilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| umbraco umbraco_identity_extensibility | v ≤ 2.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.