CVE-2024-37304
Açıklama
NuGet Gallery, nuget.org'a güç veren bir paket deposudur. NuGetGallery, Markdown içeriğindeki otomatik bağlantıların (autolinks) işlenmesiyle ilgili bir güvenlik zafiyetine sahiptir. Platform standart bağlantılardaki JavaScript'leri düzgün bir şekilde filtrelese de, otomatik bağlantıları yeterince temizlememektedir. Bu ihmal, saldırganların otomatik bağlantıları Siteler Arası Betik Çalıştırma (XSS) saldırıları için bir vektör olarak kullanmalarına olanak tanır. Bir kullanıcı `<javascript:alert(1)>` gibi bir Markdown otomatik bağlantısı girdiğinde, bağlantı uygun temizleme işlemi yapılmadan oluşturulur. Bu durum, otomatik bağlantı içindeki JavaScript kodunun tarayıcı tarafından çalıştırılabileceği ve bunun da bir XSS saldırısına yol açacağı anlamına gelir. Versiyon 2024.05.28 bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- microsoft nugetgallery2024.05.28 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| microsoft nugetgallery | v < 2024.05.28 | 2024.05.28 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.