CVE-2024-28855
Açıklama
Açık kaynaklı kimlik doğrulama yönetim yazılımı ZITADEL, giriş kullanıcı arayüzünü oluşturmak için Go şablonlarını kullanır. `html/template` paketi yerine `text/template` paketinin hatalı kullanımı nedeniyle Giriş Kullanıcı Arayüzü; 2.47.3, 2.46.1, 2.45.1, 2.44.3, 2.43.9, 2.42.15 ve 2.41.15 versiyonlarından önceki sürümlerde girdi parametrelerini temizlememiştir. Bir saldırgan, giriş ekranının bir parçası olarak işlenecek kodu enjekte ettiği kötü amaçlı bir bağlantı oluşturabilir. JavaScript dahil olmak üzere HTML enjekte etmek mümkün olsa da, bu tür betiklerin çalıştırılması İçerik Güvenliği Politikası (Content Security Policy) tarafından engellenirdi. 2.47.3, 2.46.1, 2.45.1, 2.44.3, 2.43.9, 2.42.15 ve 2.41.15 versiyonları bu sorun için bir yama içermektedir. Bilinen herhangi bir geçici çözüm mevcut değildir.
Nasıl düzeltilir
- zitadel zitadel2.41.15, 2.42.15, 2.43.9, 2.44.3, 2.47.4 ya da sonraki bir sürüm
- github.com/zitadel/zitadel2.41.15, 2.42.15, 2.43.9, 2.44.3, 2.45.1, 2.46.1, 2.47.4, 0.0.0-20240311065202-07ec2efa9dc6, 1.80.0-v2.20.0.20240311065202-07ec2efa9dc6, 1.80.0-v2.20.0.20240312162750-5908b97e7c22 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zitadel zitadel | v < 2.41.15, 2.42.0 ≤ v < 2.42.15, 2.43.0 ≤ v < 2.43.9, 2.44.0 ≤ v < 2.44.3, 2.47.0 ≤ v < 2.47.4, 2.45.0, 2.46.0 | 2.41.15, 2.42.15, 2.43.9, 2.44.3, 2.47.4 |
| github.com/zitadel/zitadelGo | 1.80.1 ≤ v < 2.41.15, 2.42.0 ≤ v < 2.42.15, 2.43.0 ≤ v < 2.43.9, 2.44.0 ≤ v < 2.44.3, 2.45.0 ≤ v < 2.45.1, 2.46.0 ≤ v < 2.46.1, 2.47.0 ≤ v < 2.47.4, v < 0.0.0-20240311065202-07ec2efa9dc6, 0.0.0 ≤ v < 1.80.0-v2.20.0.20240311065202-07ec2efa9dc6, v < 1.80.0-v2.20.0.20240312162750-5908b97e7c22 | 2.41.15, 2.42.15, 2.43.9, 2.44.3, 2.45.1, 2.46.1, 2.47.4, 0.0.0-20240311065202-07ec2efa9dc6, 1.80.0-v2.20.0.20240311065202-07ec2efa9dc6, 1.80.0-v2.20.0.20240312162750-5908b97e7c22 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.