CVE-2023-45671
Açıklama
Frigate açık kaynaklı bir ağ video kaydedicisidir. Versiyon 0.13.0 Beta 3 öncesinde, yol için sağlanan değerler temizlenmediği için `/<camera_name>` temel yoluna bağımlı tüm API uç noktalarında yansıtılmış siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. Bu zafiyetin istismar edilmesi, saldırganın hem kullanıcının Frigate sunucusu hakkında çok spesifik bilgilere sahip olmasını hem de kimliği doğrulanmış bir kullanıcının kendi Frigate örneğine yönlendiren özel olarak hazırlanmış bir bağlantıya tıklaması için kandırılmasını gerektirir. Bu zafiyet aşağıdaki koşullar altında bir saldırgan tarafından istismar edilebilir: Frigate'in internete açık olması (kimlik doğrulama olsa dahi); saldırganın kullanıcının Frigate örneğinin adresini bilmesi; saldırganın kullanıcının Frigate örneğine bağlantı veren özel bir sayfa hazırlaması; saldırganın kimliği doğrulanmış bir kullanıcının bu özel sayfayı ziyaret etmesini ve düğmeye/bağlantıya tıklamasını sağlamanın bir yolunu bulması. URL'de yer alan yansıtılmış değerler temizlenmediği veya kaçış karakterleri eklenmediği için bu durum rastgele Javascript yüklerinin çalıştırılmasına izin verir. Versiyon 0.13.0 Beta 3, bu sorun için bir yama içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| frigate frigate | v ≤ 0.13.0, 0.13.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.