CVE-2024-3572

Yüksek

Açıklama

scrapy/scrapy projesi, güvenilmeyen XML verilerini uygun doğrulama yapmadan ayrıştırmak için lxml.etree.fromstring kullanılması nedeniyle XML Dış Varlık (XXE) saldırılarına karşı savunmasızdır. Bu güvenlik açığı; saldırganların özel olarak hazırlanmış XML verileri göndererek hizmet reddi saldırıları gerçekleştirmesine, yerel dosyalara erişmesine, ağ bağlantıları oluşturmasına veya güvenlik duvarlarını atlatmasına olanak tanır.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

ÜrünScrapy

Yayın16 Nis 2024

İlk görülme16 Nis 2024

Zayıflık türüCWE-409CWE-409

Nasıl düzeltilir

Güncelleyin

scrapy scrapy2.11.1 ya da sonraki bir sürüm
scrapy2.11.1, 1.8.4 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
scrapy scrapy	v < 2.11.1	2.11.1
scrapyPyPI	2.0.0 ≤ v < 2.11.1, v < 1.8.4	2.11.1, 1.8.4

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.