CVE-2024-45592
Yüksek
Açıklama
Eski adı DoctrineAuditBundle olan auditor-bundle, auditor kütüphanesini herhangi bir Symfony 3.4+ uygulamasına entegre eder. Versiyon 5.2.6 öncesinde, Javascript enjeksiyonuna olanak tanıyan kaçış karakterleri uygulanmamış (unescaped) bir varlık özelliği bulunmaktadır. Bu durum, twig makrosundaki `%source_label%` ifadesinin filtrelenmemesinden kaynaklanmaktadır. Bu nedenle, script etiketleri yerleştirilebilir ve çalıştırılabilir. Güvenlik açığı 6.0.0 ve 5.2.6 versiyonlarında giderilmiştir.
ÖnemYüksek
CVSS8.2
İstismar olasılığı—
ÜrünDamienharper Auditor-bundle
Yayın10 Eyl 2024
İlk görülme10 Eyl 2024
Zayıflık türüCWE-79Siteler arası betik (XSS)
Nasıl düzeltilir
Güncelleyin
- damienharper auditor-bundle5.2.6 ya da sonraki bir sürüm
- damienharper/auditor-bundle5.2.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| damienharper auditor-bundle | 5.0.0 ≤ v < 5.2.6 | 5.2.6 |
| damienharper/auditor-bundlePackagist | v < 5.2.6 | 5.2.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.