CVE-2024-35224
Açıklama
OpenProject, önde gelen açık kaynaklı proje yönetim yazılımıdır. OpenProject, Cost Report özelliği içerisinde `tablesorter` kullanmaktadır. Bu bağımlılık, yanlış yapılandırıldığında tablo başlık değerlerindeki `{icon}` değişikliği aracılığıyla Stored XSS'e yol açabilir. Bu saldırı, "Edit work packages" ve "Add attachments" izinlerini gerektirir. Bir proje yöneticisi, bu XSS'i bir Sistem Yöneticisine göndererek yetkilerini yükseltmeye çalışabilir. Aksi takdirde, tam bir Sistem Yöneticisi yetkisi gerekiyorsa, bu saldırının etkisi önemli ölçüde daha azdır. Bir talebin ekini kullanarak, uygulama içerisine javascript kaydedebilir ve Stored XSS elde etmek için uygulamanın CSP politikasını atlatabilirsiniz. Bu güvenlik açığı 14.1.0, 14.0.2 ve 13.4.2 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- openproject openproject13.4.2, 14.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openproject openproject | v < 13.4.2, 14.0.0 ≤ v < 14.0.2, 14.1.0 | 13.4.2, 14.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.