CVE-2023-4520
Açıklama
WordPress için geliştirilen FV Flowplayer Video Player eklentisi, init aracılığıyla kancalanan 'save' fonksiyonu üzerinden kaydedilen ‘_fv_player_user_video’ parametresi nedeniyle Depolanmış Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir; ayrıca eklenti, yetersiz girdi temizleme ve çıktı kaçış işlemleri nedeniyle 7.5.37.7212 sürümü dahil önceki sürümlerde 'save' fonksiyonundaki Keyfi Kullanıcı Meta Verisi Güncelleme (Arbitrary Usermeta Update) zafiyetine sahiptir. Bu durum, kimliği doğrulanmamış saldırganların sayfalara keyfi web betikleri yerleştirmesine ve bu betiklerin bir kullanıcı etkilenen sayfaya eriştiğinde çalışmasına olanak tanır; ayrıca kullanıcı meta verilerinin keyfi olarak güncellenmesine imkan verir ancak meta değeri yalnızca bir dize olabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| foliovision fv_flowplayer_video_player | v ≤ 7.5.37.7212 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.