CVE-2024-45399
Açıklama
Indico, Flask için çoklu arka uç kimlik doğrulama sistemi olan Flask-Multipass kullanan bir etkinlik yönetim sistemidir. Flask-Multipass sürüm 0.5.5 öncesine karşılık gelen Indico 3.3.4 öncesi sürümlerde, `next` URL'sine yönlendirme sırasında hesap oluşturma aşamasında bir siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. İstismar edilmesi için hesap oluşturma sürecinin kötü niyetle hazırlanmış bir bağlantı ile başlatılması ve ardından kayıt işleminin tamamlanması gerekir. Bu nedenle, yalnızca yeni oluşturulan (ve dolayısıyla yetkisiz) Indico kullanıcılarını hedefleyebilir. Indico 3.3.4, sorunu gideren Flask-Multipass bağımlılığını sürüm 0.5.5'e yükseltir. Indico paketini kendisi derleyen ve yükseltme yapamayanlar, zafiyeti gidermek için `flask-multipass` bağımlılığını `>=0.5.5` olarak güncelleyebilirler. Aksi takdirde, web sunucusu `javascript:` ile başlayan bir `next` parametresi içeren sorgu dizisine sahip istekleri reddedecek şekilde yapılandırılabilir.
Nasıl düzeltilir
- cern indico3.3.4 ya da sonraki bir sürüm
- indico3.3.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cern indico | v < 3.3.4 | 3.3.4 |
| indicoPyPI | v < 3.3.4 | 3.3.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.