CVE-2023-41048
Açıklama
plone.namedfile, kullanıcıların Plone Dexterity içeriğine bağımlı olmayan ancak onu hedefleyen `File` ve `Image` alanlarını işlemesine olanak tanır. 5.6.1, 6.0.3, 6.1.3 ve 6.2.1 versiyonlarından öncekilerde, SVG resimleri için saklanan bir siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. 2021 yılına ait bir güvenlik yaması, SVG resimlerinin satır içi gösterilmek yerine her zaman indirilmesini sağlayarak bu durumu kısmen düzeltmiştir. Ancak aynı sorun, SVG resimlerinin ölçekleri (scales) için hala devam etmektedir. Kaynak olarak bir SVG resmi içeren bir resim etiketinin, SVG resmi kötü amaçlı kod içerse bile savunmasız olmadığı unutulmamalıdır. Zafiyeti istismar etmek için bir saldırganın önce bir resim yüklemesi ve ardından bir kullanıcıyı özel olarak hazırlanmış bir bağlantıya tıklamaya ikna etmesi gerekir. Yamalar; 5.6.1 (Plone 5.2 için), 6.0.3 (Plone 6.0.0-6.0.4 için), 6.1.3 (Plone 6.0.5-6.0.6 için) ve 6.2.1 (Plone 6.0.7 için) versiyonlarında mevcuttur. Bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- plone namedfile5.6.1, 6.0.3, 6.1.3 ya da sonraki bir sürüm
- plone-namedfile5.6.1, 6.0.3, 6.1.3, 6.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| plone namedfile | v < 5.6.1, 6.0.0 ≤ v < 6.0.3, 6.1.0 ≤ v < 6.1.3, 6.2.0 | 5.6.1, 6.0.3, 6.1.3 |
| plone-namedfilePyPI | v < 5.6.1, 6.0.0 ≤ v < 6.0.3, 6.1.0 ≤ v < 6.1.3, 6.2.0 ≤ v < 6.2.1 | 5.6.1, 6.0.3, 6.1.3, 6.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.