CVE-2024-21485
Açıklama
dash-core-components paketinin 2.13.0 öncesi sürümleri; dash-core-components paketinin 2.0.0 öncesi sürümleri; dash paketinin 2.15.0 öncesi sürümleri; dash-html-components paketinin 2.0.0 öncesi sürümleri ve dash-html-components paketinin 2.0.16 öncesi sürümleri, a etiketinin href özniteliği bir saldırgan tarafından kontrol edildiğinde siteler arası betik çalıştırma (XSS) zafiyetine sahiptir. Bu zafiyeti istismar eden bir görünümü kaydeden kimliği doğrulanmış bir saldırgan, söz konusu görünümü açan başka bir kullanıcı için görünür olan verileri çalabilir; bu sadece sayfada halihazırda bulunan verilerle sınırlı kalmayıp teoride ek istekler göndererek bu kullanıcının erişebildiği diğer verilere de erişebilir. Bazı durumlarda, saldırganın aynı sunucuda barındırılan diğer uygulamaları ve kaynakları görüntülemek de dahil olmak üzere o kullanıcı adına işlem yapmasına olanak tanıyan erişim belirteçlerini (access tokens) çalması da mümkündür. **Not:** Bu durum yalnızca, farklı bir kullanıcı tarafından yeniden yüklenecek şekilde kullanıcı girişini depolayan bir mekanizma içeren Dash uygulamalarında istismar edilebilir.
Nasıl düzeltilir
- plotly dash2.13.0, 2.15.0 ya da sonraki bir sürüm
- dash-core-components2.13.0, 2.0.0 ya da sonraki bir sürüm
- dash-html-components2.0.0, 2.0.16 ya da sonraki bir sürüm
- dash2.15.0, 2.13.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| plotly dash | v < 2.13.0, 2.14.0 ≤ v < 2.15.0 | 2.13.0, 2.15.0 |
| dash-core-componentsnpm | v < 2.13.0, v < 2.0.0 | 2.13.0, 2.0.0 |
| dash-html-componentsPyPI | v < 2.0.0, v < 2.0.16 | 2.0.0, 2.0.16 |
| dashPyPI | v < 2.15.0, v < 2.13.0, 2.14.0 ≤ v < 2.15.0 | 2.15.0, 2.13.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.