CVE-2023-5654
Orta
Açıklama
React Developer Tools uzantısı, tarayıcıda aktif olan herhangi bir web sayfası tarafından erişilebilen bir içerik betiği (content script) içinde window.addEventListener('message', <listener>) ile bir mesaj dinleyicisi kaydeder. Dinleyici içerisinde, alınan mesajdan türetilen bir URL'yi fetch() aracılığıyla talep eden bir kod bulunmaktadır. URL, getirilmeden önce doğrulanmadığı veya temizlenmediği için kötü niyetli bir web sayfasının kurbanın tarayıcısı üzerinden rastgele URL'leri getirmesine izin verir.
ÖnemOrta
CVSS6.5
İstismar olasılığı—
ÜrünFacebook React-devtools
Yayın19 Eki 2023
İlk görülme19 Eki 2023
Zayıflık türüCWE-285CWE-285
Nasıl düzeltilir
Güncelleyin
- facebook react-devtools4.28.4 ya da sonraki bir sürüm
- react-devtools-core4.28.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| facebook react-devtools | v < 4.28.4 | 4.28.4 |
| react-devtools-corenpm | v < 4.28.4 | 4.28.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.