CVE-2024-32468
Açıklama
Deno, Rust ile yazılmış bir JavaScript ve TypeScript çalışma zamanıdır. `deno_doc` crate bileşeninde, `deno doc --html` kullanımıyla Self-XSS'e yol açan birkaç siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktaydı. 1.) Oluşturulan `search_index.js` dosyasındaki XSS; `deno_doc` arama için bir JavaScript dosyası oluşturur ancak oluşturulan bu dosya, temizlenmemiş HTML girdisi üzerinde `innerHTML` kullanmaktadır. 2.) Özellik, metot ve enum isimleri üzerinden XSS; `deno_doc` özellik isimlerini, metot isimlerini ve enum isimlerini temizlememektedir. İlk XSS zafiyetinin, `deno doc --html` komutunun kendi paketleriyle yerel olarak kullanılması beklendiği için muhtemelen bir etkisi olmamıştır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| denoland deno | deno_doc: < 0.119.0, deno: < 1.42.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.