CVE-2023-50258
Açıklama
Medusa, TV şovları için otomatik bir video kütüphanesi yöneticisidir. 1.0.19 öncesindeki sürümler, kimlik doğrulaması gerektirmeyen kör sunucu taraflı istek sahteciliği (blind SSRF) zafiyetine sahiptir. `medusa/server/web/home/handler.py` dosyasındaki `testDiscord` istek işleyicisi, kullanıcı kontrollü `discord_webhook` değişkenini doğrulamamakta ve bu değişkeni sırasıyla `notifiers.discord_notifier.test_notify`, `_notify_discord` ve son olarak `/medusa/notifiers/discord.py` dosyasının 64. satırında kullanıcı kontrollü URL'ye bir POST isteği gönderen `_send_discord_msg` metoduna iletmektedir; bu durum kör sunucu taraflı istek sahteciliğine yol açmaktadır. Bu sorun, Medusa sunucusu adına POST istekleri oluşturulmasına izin verir. 1.0.19 sürümü bu sorun için bir düzeltme içermektedir.
Nasıl düzeltilir
- pymedusa medusa1.0.19 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pymedusa medusa | v < 1.0.19 | 1.0.19 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.