CVE-2024-45031
Açıklama
Syncope Console'da nesneler düzenlenirken, eksik HTML etiketleri HTML temizleme işlemini atlatmak için kullanılabilir. Bu durum, uygulamanın normal kullanımı sırasında diğer kullanıcılar için tetiklenecek olan saklı XSS payload'larının enjekte edilmesini mümkün kılıyordu. Ayrıca, Syncope Enduser'da “Personal Information” veya “User Requests” bölümleri düzenlenirken de XSS payload'ları enjekte edilebilirdi; bu tür payload'lar Syncope Console'daki yöneticiler için tetiklenerek oturum çalmaya (session hijacking) olanak tanıyordu. Kullanıcıların, bu sorunu gideren 3.0.9 sürümüne yükseltme yapmaları önerilir.
Nasıl düzeltilir
- apache syncope3.0.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache syncope | 2.1.0 ≤ v < 3.0.9 | 3.0.9 |
| org.apache.syncope.client:syncope-client-consoleMaven | 2.1.0 ≤ v ≤ 2.1.14 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.