CVE-2023-37899
Açıklama
Feathersjs, TypeScript veya JavaScript ile web API'leri ve gerçek zamanlı uygulamalar oluşturmak için kullanılan bir çerçevedir. Feathers soket işleyicisi, `socket.emit('find', { toString: '' })` gibi beklenmedik bir Socket.io mesajı gönderildiğinde NodeJS işleminin çökmesine neden olan `const message = ${{ toString: '' }}` şeklindeki geçersiz dize dönüştürme hatalarını yakalamamıştır. Bu durum için 5.0.8 ve 4.5.18 sürümlerinde düzeltme yayınlanmıştır. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- feathersjs feathers4.5.18, 5.0.8 ya da sonraki bir sürüm
- @feathersjs/socketio4.5.18, 5.0.8 ya da sonraki bir sürüm
- @feathersjs/transport-commons4.5.18, 5.0.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| feathersjs feathers | v < 4.5.18, 5.0.0 ≤ v < 5.0.8 | 4.5.18, 5.0.8 |
| @feathersjs/socketionpm | v < 4.5.18, 5.0.0 ≤ v < 5.0.8 | 4.5.18, 5.0.8 |
| @feathersjs/transport-commonsnpm | v < 4.5.18, 5.0.0 ≤ v < 5.0.8 | 4.5.18, 5.0.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.