CVE-2024-28100
Açıklama
eLabFTW, araştırma laboratuvarları için açık kaynaklı bir elektronik laboratuvar defteridir. Özel olarak hazırlanmış dosyalar yükleyerek, standart bir kullanıcı, bir ziyaretçinin tarayıcısının eLabFTW uygulaması bağlamında rastgele JavaScript kodu çalıştırdığı bir durum oluşturabilir. Bu durum, ziyaretçinin deneyler listesini görüntülemesiyle tetiklenebilir. Görüntüleme işlemi, kötü amaçlı betiğin; kalıcılık sağlamak için API anahtarları oluşturmak veya normalde kullanıcının erişebildiği diğer seçenekler dahil olmak üzere, ziyaretçi adına herhangi bir işlem yapmasına olanak tanır. Sayfayı görüntüleyen kullanıcı eLabFTW üzerinde sysadmin rolüne sahipse, betik bir sysadmin gibi hareket edebilir (sistem yapılandırması ve kapsamlı kullanıcı yönetimi rolleri dahil). Kullanıcıların en az sürüm 5.0.0'a yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- elabftw elabftw5.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| elabftw elabftw | v < 5.0.0 | 5.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.