CVE-2024-27307
Açıklama
JSONata bir JSON sorgulama ve dönüştürme dilidir. Versiyon 1.4.0'dan başlayarak versiyon 1.8.7 ve 2.0.4 öncesine kadar olan sürümlerde, kötü niyetli bir ifade, `Object` oluşturucusu ve prototipindeki özellikleri geçersiz kılmak için transform operatörünü kullanabilir. Bu durum, kullanıcı tarafından sağlanan JSONata ifadelerini değerlendiren uygulamalarda hizmet reddi, uzaktan kod çalıştırma veya diğer beklenmedik davranışlara yol açabilir. Bu sorun JSONata versiyonları 1.8.7 ve 2.0.4'te düzeltilmiştir. Kullanıcı tarafından sağlanan ifadeleri değerlendiren uygulamalar, istismarı önlemek için mümkün olan en kısa sürede güncellenmelidir. Geçici bir çözüm olarak yama manuel olarak uygulanabilir.
Nasıl düzeltilir
- jsonata jsonata1.8.7, 2.0.4 ya da sonraki bir sürüm
- jsonata1.8.7, 2.0.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jsonata jsonata | 1.4.0 ≤ v < 1.8.7, 2.0.0 ≤ v < 2.0.4 | 1.8.7, 2.0.4 |
| jsonatanpm | 1.4.0 ≤ v < 1.8.7, 2.0.0 ≤ v < 2.0.4 | 1.8.7, 2.0.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.