CVE-2024-12641
Açıklama
Chunghwa Telecom tarafından geliştirilen TenderDocTransfer, yansıtılmış siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. Uygulama basit bir yerel web sunucusu kurmakta ve hedef web sitesiyle iletişim için API'ler sağlamaktadır. API'lerde CSRF korumasının eksikliği nedeniyle, kimlik doğrulaması yapmamış uzaktaki saldırganlar, oltalama yoluyla belirli API'leri kullanarak kullanıcının tarayıcısında rastgele JavaScript kodu çalıştırabilir. Uygulama tarafından kurulan web sunucusunun Node.Js özelliklerini desteklemesi nedeniyle, saldırganlar bunu işletim sistemi komutları çalıştırmak için daha fazla kullanabilir.
Nasıl düzeltilir
- cht tenderdoctransfer0.41.157 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cht tenderdoctransfer | 0.41.151 ≤ v < 0.41.157 | 0.41.157 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.