CVE-2024-39910
Açıklama
decidim; şehirler ve kuruluşlar için ücretsiz açık kaynaklı bir katılımcı demokrasi, vatandaş katılımı ve açık hükümet platformudur. WYSIWYG editörü QuillJS, saldırganın veriler sunucuya yüklenmeden önce HTML içeriğini değiştirmeyi başarması durumunda potansiyel bir XSS saldırısına maruz kalabilir. Saldırgan, bu istekleri nasıl oluşturacağını biliyorsa örneğin içeriği <svg onload=alert('XSS')> şeklinde değiştirebilir. Bu sorun 0.27.7 sürümünde giderilmiştir. Tüm kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, yönetici paneline erişimi olan kullanıcı hesaplarını (yani genel Yöneticileri ve katılımcı alan Yöneticilerini) gözden geçirmeli ve ihtiyaç duymuyorlarsa erişimlerini kaldırmalıdır. Yönetici panelindeki "Katılımcılar için zengin metin düzenleyiciyi etkinleştir" ayarı devre dışı bırakılmalıdır.
Nasıl düzeltilir
- decidim decidim0.27.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| decidim decidim | v < 0.27.7 | 0.27.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.