CVE-2023-47114

Fides, çalışma zamanı ortamınızda veri gizliliği isteklerinin karşılanmasını ve kodunuzda gizlilik düzenlemelerinin uygulanmasını yönetmek için kullanılan açık kaynaklı bir gizlilik mühendisliği platformudur. Fides web uygulaması, ilgili kişilerin kişisel verilerine erişim talep etmelerine olanak tanır. İstek, Fides web uygulamasını işleten veri sorumlusu kullanıcı tarafından onaylanırsa, ilgili kişinin kişisel verileri bağlı sistemlerden ve veri depolarından alınabilir ve ardından ilgili kişinin indirmesi için bir veri sahibi erişim isteği paketi olarak bir araya getirilir. Paket için desteklenen veri formatları arasında json ve csv yer almaktadır ancak en yaygın kullanılan format, bir ZIP dosyasında sıkıştırılmış bir dizi HTML dosyasıdır. İndirilen ve zipten çıkarılan bu dosyalar, ilgili kişi tarafından yerel makinesinde görüntülenebilir. Bağlı sistemler ve veri depoları gibi kaynaklardan gelen ve daha sonra indirilen verilere yansıtılan girdilerin doğrulanmadığı tespit edilmiştir. Bu durum; kimlik avı saldırıları veya kötü amaçlı JavaScript kodu yürütülmesi amacıyla suistimal edilebilecek bir HTML injection ile sonuçlanabilir, ancak bu yalnızca ilgili kişinin tarayıcısının `file://` protokolünü kullanarak bir HTML sayfasına eriştiği bağlamda mümkündür. İstismar durumu; kötü niyetli Admin UI kullanıcıları, kötü niyetli bağlı sistem / veri deposu kullanıcıları ve sosyal mühendislik yoluyla kendisinin kötü amaçlı veri göndermeye ikna edildiği ilgili kişi kullanıcısı ile sınırlıdır. Bu güvenlik açığı versiyon 2.23.3 ile düzeltilmiştir.