CVE-2024-28196

your_spotify, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir Spotify takip panelidir. YourSpotify versiyon < 1.9.0, diğer sayfaların kendisini bir iframe içinde görüntülemesini engellememekte ve bu nedenle clickjacking saldırılarına karşı savunmasızdır. Clickjacking; mevcut bir YourSpotify kullanıcısını, diğer kullanıcıların kaydolmasına izin vermek veya mevcut kullanıcı hesabını silmek gibi eylemleri tetiklemesi için kandırmak amacıyla kullanılabilir. Clickjacking, hedef uygulamanın saldırgan tarafından kontrol edilen bir sitede görünmez bir iframe içinde açılmasıyla ve kurbanın saldırgan sayfasını ziyaret ederek onunla etkileşime girmesinin sağlanmasıyla çalışır. Görünmez iframe üzerine öğeler yerleştirilerek, kurban tamamen farklı bir siteyle etkileşim kurduğunu düşünürken görünmez iframe içindeki kötü niyetli veya yıkıcı eylemleri tetiklemesi sağlanabilir. Bir kurban, YourSpotify oturumu açıkken saldırgan kontrollü bir siteyi ziyaret ettiğinde, bilgisi dışında kendi YourSpotify örneği üzerinde işlemler yapmaya kandırılabilir. Diğer kullanıcıların kaydına izin vermek veya mevcut kullanıcı hesabını silmek gibi bu işlemler, YourSpotify'ın bütünlüğü üzerinde yüksek etkiye neden olur. Bu sorun versiyon 1.9.0 ile giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm bulunmamaktadır.