CVE-2023-42454
Açıklama
SQLpage, yalnızca SQL tabanlı bir web uygulaması oluşturucudur. SQLpage örneği herkese açık olan, veritabanı bağlantı dizesi `sqlpage/sqlpage.json` yapılandırma dosyasında belirtilen (ortam değişkeninde değil), web_root dizini mevcut çalışma dizini olan (varsayılan) ve veritabanı herkese açık olan 0.11.1 öncesi SQLpage sürümlerini kullanan kullanıcılar; saldırganın SQLPage üzerinden veritabanı bağlantı bilgilerini elde etmesi ve bu bilgileri kullanarak doğrudan veritabanına bağlanması riskine karşı savunmasızdır. Sürüm 0.11.0 bu sorunu düzeltmektedir. Bazı geçici çözümler mevcuttur. Veritabanı bağlantı dizesini belirtmek için yapılandırma dosyası yerine bir ortam değişkeni kullanmak, savunmasız sürümlerde bu bilginin ifşa edilmesini önler. Farklı bir web root kullanımı (SQLPage yapılandırma dizininin üst dizini olmayan), sorunu çözer. Ayrıca, veritabanının herkese açık olarak paylaşılmasından kaçınılmalıdır.
Nasıl düzeltilir
- lovasoa sqlpage0.11.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lovasoa sqlpage | v < 0.11.1 | 0.11.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.