CVE-2024-34065
Açıklama
Strapi açık kaynaklı bir içerik yönetim sistemidir. @strapi/plugin-users-permissions bileşeninin 4.24.2 sürümünden önceki sürümlerinde bulunan iki zafiyetin (`Open Redirect` ve `session token sent as URL query parameter`) birleştirilmesiyle, kimliği doğrulanmamış bir saldırganın kimlik doğrulama mekanizmalarını atlatması ve üçüncü taraf belirteçlerini (tokens) elde etmesi mümkündür. Saldırı, kullanıcı etkileşimi (tek tıklama) gerektirir. Kimliği doğrulanmamış saldırganlar, üçüncü taraf bir belirteç elde etmek ve Strapi uygulamalarının kimlik doğrulamasını atlatmak için bu iki zafiyeti kullanabilirler. Kullanıcıların, yamayı almak için @strapi/plugin-users-permissions bileşenini 4.24.2 sürümüne yükseltmeleri gerekir.
Nasıl düzeltilir
- strapi strapi4.24.2 ya da sonraki bir sürüm
- @strapi/plugin-users-permissions4.24.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| strapi strapi | v < 4.24.2 | 4.24.2 |
| @strapi/plugin-users-permissionsnpm | v < 4.24.2 | 4.24.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.