CVE-2023-46238

Yüksek

Açıklama

ZITADEL bir kimlik altyapı yönetim sistemidir. ZITADEL kullanıcıları, SVG dahil çeşitli görüntü türlerini kullanarak kendi avatar resimlerini yükleyebilirler. SVG'ler, işleme sırasında yürütülebilen javascript gibi betikler içerebilir. Eksik bir güvenlik başlığı nedeniyle, bir saldırgan belirli senaryolarda kurbanın hesabına erişim sağlamak için bir SVG'ye kod enjekte edebilir. Bu istismarın çalışması için kurbanın kötü amaçlı görüntüyü doğrudan tarayıcıda açması ve ZITADEL'de tek bir aktif oturumun bulunması gerekir. Olası kurbanın ZITADEL'de birden fazla aktif oturumu varsa veya hiç aktif oturumu yoksa saldırı başarılı olmaz. Bu sorun 2.39.2 ve 2.38.2 sürümlerinde düzeltilmiştir.

ÖnemYüksek

CVSS8.7

İstismar olasılığı—

ÜrünZitadel

Yayın26 Eki 2023

İlk görülme26 Eki 2023

Zayıflık türüCWE-79Siteler arası betik (XSS)

Nasıl düzeltilir

Güncelleyin

zitadel zitadel2.38.2, 2.39.2 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
zitadel zitadel	v < 2.38.2, 2.39.0 ≤ v < 2.39.2	2.38.2, 2.39.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.