CVE-2023-49803
Açıklama
@koa/cors npm paketi, bir Node.js web çerçevesi olan koa için Cross-Origin Resource Sharing (CORS) desteği sağlar. 5.0.0 sürümünden önce ara yazılım, izin verilen bir origin belirtilmediğinde, istekten gelen origin değerini içeren bir `Access-Control-Allow-Origin` başlığı döndürecek şekilde çalışmaktadır. Bu davranış, tarayıcıların en kritik unsurlarından biri olan Same Origin Policy'yi (SOP) tamamen devre dışı bırakır ve bu durum söz konusu ara yazılımın kullanıcıları için çok ciddi bir güvenlik tehdidine yol açabilir. Eğer böyle bir davranış bekleniyorsa (örneğin, ara yazılım yalnızca prototipler için kullanıldığında ve üretim uygulamaları için kullanılmadığında), birçok kullanıcı bunun farkında olmayabileceği için bu durumla ilişkili risklerin belirtilmesiyle birlikte dokümantasyonda güçlü bir şekilde vurgulanmalıdır. 5.0.0 sürümü bu zafiyeti gidermektedir.
Nasıl düzeltilir
- koajs cross-origin_resource_sharing_for_koa5.0.0 ya da sonraki bir sürüm
- @koa/cors5.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| koajs cross-origin_resource_sharing_for_koa | v < 5.0.0 | 5.0.0 |
| @koa/corsnpm | v < 5.0.0 | 5.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.