CVE-2024-22411
Açıklama
Avo, Ruby on Rails uygulamaları için yönetim panelleri oluşturmaya yarayan bir çerçevedir. Avo 3 pre12 sürümünde, bir `Avo::BaseAction` alt sınıfındaki `error` veya `succeed` yöntemlerine iletilen metin içerisindeki herhangi bir HTML, işlem tamamlandığında kullanıcı arayüzünde görünen bildirimde temizleme işlemi yapılmadan doğrudan işlenmektedir. Kötü niyetli bir kullanıcı, bu zafiyeti kullanarak hazırlıksız bir kullanıcı üzerinde siteler arası betik çalıştırma (XSS) saldırısı tetikleyebilir. Bu sorun Avo'nun 3.3.0 ve 2.47.0 sürümlerinde giderilmiştir. Kullanıcıların güncellemeleri yapmaları önerilir.
Nasıl düzeltilir
- avohq avo2.47.0, 3.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| avohq avo | v < 2.47.0, 3.0.2 ≤ v < 3.3.0, 3.0.0 | 2.47.0, 3.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.