CVE-2023-47265
Açıklama
Apache Airflow'un 2.6.0 ile 2.7.3 arasındaki sürümleri, bir DAG yazarının DAG parametre açıklama alanına sınırsız ve sanitize edilmemiş JavaScript eklemesine izin veren saklı bir XSS zafiyetine sahiptir. Bu JavaScript, görevlere tarayıcı sandbox'ı üzerinden bakan herhangi bir kullanıcının istemci tarafında çalıştırılabilir. Bu sorun, tarayıcı sandbox'ından çıkmaya veya sunucu tarafındaki verilerin —DAG yazarının halihazırda sahip olduğundan daha fazla— manipüle edilmesine izin vermese de, DAG detaylarına bakan kullanıcının tarayıcıda gördüklerini değiştirmeye olanak tanır; bu da diğer kullanıcıları yanıltmak için her türlü olasılığı ortaya çıkarır. Apache Airflow kullanıcılarının, bu zafiyetle ilişkili riski azaltmak için 2.8.0 veya daha yeni bir sürüme yükseltmeleri önerilir.
Nasıl düzeltilir
- apache-airflow2.8.0b1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache airflow | 2.6.0 ≤ v ≤ 2.7.3 | — |
| apache-airflowPyPI | 2.6.0 ≤ v < 2.8.0b1 | 2.8.0b1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.