CVE-2023-49800
Açıklama
`nuxt-api-party`, API isteklerini vekil sunucu üzerinden iletmek için kullanılan açık kaynaklı bir modüldür. Kütüphane, kullanıcının birçok seçeneği doğrudan `ofetch`'e göndermesine izin verir. Hangi seçeneklerin kullanılabilir olduğuna dair herhangi bir filtreleme bulunmamaktadır. Yeniden deneme mantığı kötüye kullanılarak sunucunun yığın taşması (stack overflow) nedeniyle çökmesi sağlanabilir. fetchOptions doğrudan istek gövdesinden alınmaktadır. Kötü niyetli bir kullanıcı, başarılı şekilde çekilemeyeceği bilinen bir URL oluşturup yeniden deneme sayısını yüksek bir değere ayarlayabilir; bu durum, `ofetch` hata yönetiminin özyinelemeli çalışması sonucunda yığın taşmasına yol açarak hizmet reddine (DoS) neden olur. Bu sorun 0.22.1 versiyonunda giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar `ofetch` seçeneklerini sınırlandırmalıdır.
Nasıl düzeltilir
- nuxt-api-party0.22.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| johannschopplich nuxt_api_party | v ≤ 0.21.3 | — |
| nuxt-api-partynpm | v < 0.22.1 | 0.22.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.