CVE-2024-28246
Açıklama
KaTeX, web üzerinde TeX matematik işlemleri oluşturmak için kullanılan bir JavaScript kütüphanesidir. KaTeX'in `trust` seçeneğini kullanan ve özellikle belirli URL protokollerini kara listeye almak için bir fonksiyon sağlayan kodlar, protokol kısmında büyük harf kullanan kötü niyetli girdilerdeki URL'ler tarafından yanıltılabilir. Özellikle bu durum, `trust: (context) => context.protocol !== 'javascript'` aracılığıyla bu protokolü yasaklamaya çalışsa bile, kötü niyetli girdilerin çıktıda `javascript:` bağlantıları oluşturmasına izin verebilir. Bu güvenlik açığını gidermek için KaTeX v0.16.10 sürümüne yükseltin.
Nasıl düzeltilir
- katex katex0.16.10 ya da sonraki bir sürüm
- katex0.16.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| katex katex | 0.11.0 ≤ v < 0.16.10 | 0.16.10 |
| katexnpm | 0.11.0 ≤ v < 0.16.10 | 0.16.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.