CVE-2024-3798
Açıklama
Açık kaynaklı proje Phoniebox'ın bir örneğine gönderilen isteklerde yer alan GET başlık parametresi file'ın güvensiz şekilde işlenmesi, bir saldırganın; kullanıcı tarafından ziyaret edildiğinde yerel ağdaki birden fazla ana bilgisayara kötü amaçlı istekler gönderecek bir web sitesi oluşturmasına olanak tanır. Bu tür bir isteğin sunucuya ulaşması durumunda (seçilen yükle bağlı olarak) şunlardan biri gerçekleşir: kabuk komutu yürütme, yansıtılmış XSS veya siteler arası istek sahteciliği (CSRF). Bu sorun, Phoniebox'ın 2.7 dahil tüm sürümlerini etkilemektedir. Daha yeni 2.x sürümleri test edilmemiştir ancak bunlar da savunmasız olabilir. Phoniebox sürüm 3.0 ve üzeri bu durumdan etkilenmemektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Phoniebox Phoniebox | v ≤ 2.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.