CVE-2024-34714
Açıklama
Hoppscotch Browser Extension, topluluk odaklı uçtan uca açık kaynaklı bir API geliştirme ekosistemi olan Hoppscotch için bir tarayıcı uzantısıdır. d4e8e4830326f46ba17acd1307977ecd32a85b58 commit'inde uzantı üzerinde yapılan bir değişiklik sırasındaki gözden kaçırma nedeniyle, origin listesi için kritik bir kontrol atlanmıştır ve bu durum, normalde origin listesinde bulunmadığı için engellenmesi gereken mesajların uzantıya gönderilmesine, uzantının bunları işlemesine ve sonuçlarla yanıt vermesine izin vermiştir. Bu güvenlik açığı, Hoppscotch Extension kullanıcılarını dahili olarak Hoppscotch Extension API'lerini çağıran sitelere karşı savunmasız hale getirmektedir. Bu durum temel olarak, belirtilen sürümdeki uzantıyı kullanan kullanıcılarda, uzantının yüklü olduğu tarayıcıda çalışan herhangi bir sitenin CORS kısıtlamalarını atlatmasına olanak tanır. Bu güvenlik açığı, uzantı versiyonu `0.35` ile birlikte yayınlanan 7e364b928ab722dc682d0fcad713a96cc38477d6 commit'i ile düzeltilmiştir. Geçici bir çözüm olarak, Chrome kullanıcıları Uzantı Ayarları'nı kullanarak uzantı erişimini yalnızca istedikleri origin'lerle sınırlandırabilirler. Firefox'ta sabitlenmiş sürüme yükseltmek dışında bir alternatif bulunmamaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hoppscotch hoppscotch-extension | >= 0.28, < 0.35 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.