CVE-2024-45053
Açıklama
Fides açık kaynaklı bir gizlilik mühendisliği platformudur. Versiyon 2.19.0'dan başlayarak versiyon 2.44.0 öncesine kadar olan sürümlerde, E-posta Şablonlama özelliği, uygun girdi temizleme veya işleme ortamı kısıtlamaları olmaksızın Jinja2 kullanmaktadır; bu durum, ayrıcalıklı kullanıcılara Uzaktan Kod Çalıştırma imkanı tanıyan Sunucu Taraflı Şablon Enjeksiyonuna (SSTI) izin verir. Ayrıcalıklı kullanıcı, varsayılan olarak `Owner` veya `Contributor` rolüne sahip bir Admin UI kullanıcısını ifade eder ve bu kullanıcılar erişimlerini yükselterek Jinja şablon işleme fonksiyonunun yürütüldüğü temel Fides Webserver konteyneri üzerinde kod çalıştırabilirler. Zafiyet, Fides versiyon `2.44.0` ile giderilmiştir. Kullanıcıların sistemlerini bu tehdide karşı korumak için bu versiyona veya daha yeni bir sürüme yükseltmeleri önerilir. Herhangi bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
- ethyca fides2.44.0 ya da sonraki bir sürüm
- ethyca-fides2.44.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ethyca fides | 2.19.0 ≤ v < 2.44.0 | 2.44.0 |
| ethyca-fidesPyPI | 2.19.0 ≤ v < 2.44.0 | 2.44.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.