CVE-2023-51652

OWASP AntiSamy .NET, güvenilmeyen kaynaklardan gelen HTML içeriklerinin temizlenmesi için kullanılan bir kütüphanedir. Versiyon 1.2.0 öncesinde, sanitize edilen HTML'in hatalı ayrıştırılmasından kaynaklanan potansiyel bir mutasyon siteler arası betik çalıştırma (mXSS) zafiyeti bulunmaktadır. Bu zafiyetten etkilenmek için politika dosyanızda `preserveComments` direktifinin etkinleştirilmiş olması ve aynı zamanda belirli etiketlere izin verilmiş olması gerekir. Sonuç olarak, bazı kurnazca hazırlanmış girdiler, AntiSamy'nin sanitize edilmiş çıktısı kullanıldığında yorum etiketleri içindeki öğelerin yürütülebilir olarak yorumlanmasına neden olabilir. Bu durum OWASP AntiSamy .NET 1.2.0 ve sonraki sürümlerde düzeltilmiştir. Önemli giderme ayrıntıları için aşağıdaki referansa bakınız. Geçici bir çözüm olarak, varsa `preserveComments` direktifini silerek veya değerini `false` yaparak AntiSamy politika dosyasını (örneğin antisamy.xml) manuel olarak düzenleyin. Ayrıca, `<tagrules>` düğümü altındaki etiket tanımlarına GitHub Security Advisory'de açıklanan satırı ekleyerek veya mevcutsa tamamen silerek AntiSamy'nin `noscript` etiketini kaldırmasını sağlamak faydalı olacaktır. Daha önce belirtilen politika ayarları mXSS saldırısının çalışması için ön koşullar olduğundan, bunları önerildiği şekilde değiştirmek, bu kütüphanenin savunmasız bir sürümünü kullandığınızda sizi bu zafiyete karşı korumak için yeterli olmalıdır. Ancak, mevcut hata AntiSamy'de veya ayrıştırıcı bağımlılığı olan HtmlAgilityPack'te bulunmaya devam edecektir. Bu geçici çözümün güvenliği, gelecekte değişebilecek yapılandırmalara dayanmaktadır ve zafiyetin kök nedenini çözmemektedir. Bu nedenle, AntiSamy'nin düzeltilmiş bir sürümüne yükseltme yapılması şiddetle tavsiye edilir.