CVE-2023-41167
Açıklama
@webiny/react-rich-text-renderer 5.37.2 öncesi sürümlerinde, içerik yöneticilerinin XSS saldırılarına izin verir. Bu, Webiny Headless CMS ve Webiny Form Builder'dan gelen verileri işlemek için kullanılan bir react bileşenidir. Webiny, açık kaynaklı, sunucusuz bir kurumsal CMS'tir. @webiny/react-rich-text-renderer paketi, zengin metin içeriğini işlemek için editor.js zengin metin düzenleyicisine bağlıdır. CMS, editor.js'ten gelen zengin metin içeriğini veritabanına kaydeder. @webiny/react-rich-text-renderer bu tür içeriği işlemek için kullanıldığında, HTML temizleme uygulamadan dangerouslySetInnerHTML özelliğini kullanır. Sorun, bu bağlamda özellikle CMS'e erişimi olan bir içerik yöneticisi olan bir aktörün, kullanıcı tanımlı girdinin bir parçası olarak kötü amaçlı bir betik eklemesiyle ortaya çıkar. Bu betik daha sonra ana sayfa veya yönetici sayfası yüklendiğinde kullanıcının tarayıcısında enjekte edilir ve çalıştırılır.
Nasıl düzeltilir
- webiny webiny5.37.2 ya da sonraki bir sürüm
- @webiny/react-rich-text-renderer5.37.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| webiny webiny | v < 5.37.2 | 5.37.2 |
| @webiny/react-rich-text-renderernpm | v < 5.37.2 | 5.37.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.