CVE-2024-23643
Açıklama
GeoServer, kullanıcıların coğrafi veri paylaşmasına ve düzenlemesine olanak tanıyan, Java ile yazılmış açık kaynaklı bir yazılım sunucusudur. 2.23.2 ve 2.24.1 öncesi sürümlerde, çalışma alanı düzeyinde yetkilere sahip kimliği doğrulanmış bir yöneticinin, GeoServer kataloğuna bir JavaScript yükü yerleştirmesine olanak tanıyan saklı bir siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır; bu yük, GWC Seed Form üzerinden görüntülendiğinde başka bir yöneticinin tarayıcısı bağlamında çalıştırılacaktır. GWC Seed Form'a erişim varsayılan olarak tam yöneticilerle sınırlıdır ve yönetici olmayanlara bu uç noktaya erişim verilmesi önerilmez. 2.23.2 ve 2.24.1 sürümleri bu sorun için bir düzeltme içermektedir.
Nasıl düzeltilir
- geoserver geoserver2.23.2 ya da sonraki bir sürüm
- org.geoserver:gs-gwc-rest2.23.2, 2.24.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| geoserver geoserver | v < 2.23.2, 2.24.0 | 2.23.2 |
| org.geoserver:gs-gwc-restMaven | v < 2.23.2, 2.24.0 ≤ v < 2.24.1 | 2.23.2, 2.24.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.