CVE-2024-3938
Açıklama
"Şifre sıfırlama" giriş sayfası, URL parametreleri üzerinden bir HTML injection saldırısını kabul ediyordu. Bu durum yama ile düzeltilmiştir ve bu nedenle Demo site bağlantısı üzerinden gösterilememektedir. Zafiyeti görmek isteyenler http://localhost:8082/dotAdmin/#/public/login?resetEmailSent=true&resetEmail=%3Ch1%3E%3Ca%20href%3D%22https:%2F%2Fgoogle.com%22%3ECLICK%20ME%3C%2Fa%3E%3C%2Fh1%3E adresini çalıştırabilir. Bu işlem şu şekilde bir görünüme neden olacaktır: * OWASP Top 10 - A03: Injection * CVSS Skoru: 5.4 * AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator * https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N&... https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator
Nasıl düzeltilir
- dotcms dotcms23.01.18, 24.05.31 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dotcms dotcms | 5.1.5 ≤ v < 23.01.18, 23.02 ≤ v ≤ 23.09.7, 23.12.21 ≤ v ≤ 24.04.23, 24.05.13 ≤ v < 24.05.31, 23.10.24, 23.10.24.0, 24.04.24 | 23.01.18, 24.05.31 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.