CVE-2024-39326
Açıklama
SkillTree bir mikro öğrenme oyunlaştırma platformudur. Versiyon 2.12.6 öncesinde, `/admin/projects/{projectname}/skills/{skillname}/video` uç noktası (ve muhtemelen diğerleri) bir siteler arası istek sahteciliği (CSRF) zafiyetine açıktır. Uç noktanın CSRF'e açık olması (örneğin POST isteği), istismar edilebilecek bir içerik türünü desteklemesi (multipart dosya yükleme), durum değişikliği yapması ve herhangi bir CSRF önleminin (samesite bayrağı, CSRF belirteci) bulunmaması nedeniyle; oturum açmış bir yönetici hesabına karşı CSRF saldırısı gerçekleştirmek mümkündür. Bu durum, Skills Service üzerinde oturum açmış bir yöneticiyi hedefleyebilen bir saldırganın, becerinin videolarını, altyazılarını ve metinlerini değiştirmesine olanak tanır. Versiyon 2.12.6 bu sorun için bir yama içermektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| NationalSecurityAgency skills-service | < 2.12.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.