CVE-2023-36821
Açıklama
Kendi kendine barındırılan bir izleme aracı olan Uptime Kuma, 1.22.1 öncesindeki sürümlerde kimliği doğrulanmış bir saldırganın kötü amaçlı olarak hazırlanmış bir eklenti yüklemesine izin verir ve bu durum uzaktan kod çalıştırmaya yol açabilir. Uptime Kuma, kimliği doğrulanmış kullanıcıların resmi bir eklenti listesinden eklentiler yüklemesine izin verir. Bu özellik şu anda web arayüzünde devre dışı bırakılmıştır ancak ilgili API uç noktaları giriş yaptıktan sonra hala kullanılabilmektedir. Bir eklenti indirildikten sonra, eklentinin kurulum dizininde `npm install` çağrılarak yüklenir. Eklenti, resmi eklenti listesine göre doğrulanmadığı veya `npm install --ignore-scripts` ile yüklenmediği için, npm scriptlerinden yararlanan kötü amaçlı olarak hazırlanmış bir eklenti uzaktan kod çalıştırma yetkisi kazanabilir. Sürüm 1.22.1, bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- uptime-kuma_project uptime-kuma1.22.1 ya da sonraki bir sürüm
- uptime-kuma1.22.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| uptime-kuma_project uptime-kuma | v < 1.22.1 | 1.22.1 |
| uptime-kumanpm | v < 1.22.1 | 1.22.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.