CVE-2024-23821
Açıklama
GeoServer, kullanıcıların coğrafi veri paylaşmasına ve düzenlemesine olanak tanıyan, Java ile yazılmış açık kaynaklı bir yazılım sunucusudur. 2.23.4 ve 2.24.1 öncesi sürümlerde, çalışma alanı düzeyinde yetkilere sahip kimliği doğrulanmış bir yöneticinin, GeoServer kataloğuna bir JavaScript yükü yerleştirmesine izin veren saklı bir siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır; bu yük, GWC Demos Sayfasında görüntülendiğinde başka bir kullanıcının tarayıcı bağlamında çalışacaktır. Veri güvenliği, kullanıcıların XSS'i tetikleme yeteneğini kısıtlayabilse de GWC Demos Sayfasına erişim tüm kullanıcılar için mevcuttur. 2.23.4 ve 2.24.1 sürümleri bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- geoserver geoserver2.23.4 ya da sonraki bir sürüm
- org.geoserver:gs-gwc2.24.1, 2.23.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| geoserver geoserver | v < 2.23.4, 2.24.0 | 2.23.4 |
| org.geoserver:gs-gwcMaven | 2.24.0 ≤ v < 2.24.1, v < 2.23.4 | 2.24.1, 2.23.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.