CVE-2024-39687
Açıklama
Fedify, ActivityPub ve diğer standartlarla desteklenen federasyon sunucu uygulamaları oluşturmak için kullanılan bir TypeScript kütüphanesidir. Şu anda Fedify, uzak bir activitypub sunucusundan bir nesne veya etkinlik almak istediğinde, web üzerinden aldığı etkinlik içindeki `@id` adresine veya mevcut diğer kaynaklara bir HTTP isteği gönderir. Bu etkinlik, dahili bir IP adresini işaret eden bir `@id` referansı içerebilir ve bu durum, bir saldırganın fedify sunucusunun ağındaki dahili kaynaklara istek göndermesine olanak tanır. Bu durum sadece etkinlikler veya nesneler içeren belgelerin çözümlenmesi için değil, aynı zamanda medya URL'leri için de geçerlidir. Spesifik olarak bu, bir Server Side Request Forgery saldırısıdır. Kullanıcıların, bu sorunla ilgili yamayı almak için Fedify sürümünü 0.9.2, 0.10.1 veya 0.11.1'e yükseltmeleri gerekir.
Nasıl düzeltilir
- @fedify/fedify0.9.2, 0.10.2, 0.11.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @fedify/fedifynpm | v < 0.9.2, 0.10.0 ≤ v < 0.10.2, 0.11.0 ≤ v < 0.11.2 | 0.9.2, 0.10.2, 0.11.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.