CVE-2024-34706
Açıklama
Valtimo, açık kaynaklı bir iş süreci ve vaka yönetim platformudur. Valtimo'da bir form açıldığında, kullanıcının erişim belirteci (JWT), `x-jwt-token` başlığı aracılığıyla `api.form.io` adresine ifşa edilmektedir. Bir saldırgan, bu belirteçten kişisel bilgileri elde edebilir veya giriş yapmış kullanıcı adına Valtimo REST API'sine istekler göndermek için bunu kullanabilir. Bu sorun, Form.io bileşeninin hatalı yapılandırılmasından kaynaklanmaktadır. Bu saldırıyı gerçekleştirmek için aşağıdaki koşulların karşılanması gerekir: Saldırganın `api.form.io` alan adındaki ağ trafiğine erişimi olmalıdır; `x-jwt-token` başlığının içeriği günlüğe kaydedilmiş veya başka bir şekilde saldırgan tarafından erişilebilir olmalıdır; saldırganın Valtimo API'sine ağ erişimi olmalıdır ve saldırganın erişim belirtecinin yaşam süresi (TTL) içinde hareket etmesi gerekir. Keycloak'taki varsayılan TTL 5 dakikadır. 10.8.4, 11.1.6 ve 11.2.2 sürümleri yamalanmıştır.
Nasıl düzeltilir
- @valtimo/components10.8.4, 11.1.6, 11.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @valtimo/componentsnpm | v < 10.8.4, 11.0.0 ≤ v < 11.1.6, 11.2.0 ≤ v < 11.2.2 | 10.8.4, 11.1.6, 11.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.