CVE-2024-22191
Açıklama
Avo, Ruby on Rails uygulamaları için yönetim panelleri oluşturmaya yarayan bir çerçevedir. Avo v3.2.3 ve v2.46.0 sürümlerinin key_value alanında saklanan bir siteler arası betik çalıştırma (XSS) zafiyeti tespit edilmiştir. Bu zafiyet, bir saldırganın mağdurun tarayıcısında rastgele JavaScript kodu çalıştırmasına izin verebilir. key_value değeri doğrudan HTML koduna eklenmektedir. Avo'nun mevcut sürümünde (muhtemelen eski sürümlerde de), değer HTML koduna eklenmeden önce uygun şekilde temizlenmemektedir. Bu zafiyet; mağdurların hesaplarını ele geçirmek veya onları kötü amaçlı web sitelerine yönlendirmek için kullanılabilecek hassas bilgilerin çalınması amacıyla kullanılabilir. Avo 3.2.4 ve 2.47.0 sürümleri bu sorun için bir düzeltme içermektedir. Kullanıcıların yükseltme yapmaları önerilir.
Nasıl düzeltilir
- avohq avo2.47.0, 3.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| avohq avo | v < 2.47.0, 3.0.0 ≤ v < 3.3.0 | 2.47.0, 3.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.