CVE-2024-47610
Açıklama
InvenTree, Açık Kaynaklı bir Envanter Yönetim Sistemidir. InvenTree'nin etkilenen sürümlerinde, kayıtlı bir kullanıcının markdown not alanlarında javascript depolaması mümkündür; bu içerikler daha sonra aynı sayfayı ziyaret eden diğer giriş yapmış kullanıcılara görüntülenir ve çalıştırılır. Güvenlik açığı şu şekilde giderilmiştir: 1. Ön uç markdown işleme kütüphanesi olan `easymde` üzerinde HTML temizleme (sanitization) etkinleştirilmiştir. 2. Kötü niyetli markdown içeriğinin veritabanına kaydedilmemesini sağlamak için depolanan markdown'lar arka uçta da doğrulanmaktadır. Bu değişiklikler 0.16.5 ve sonraki sürüm versiyonlarında mevcuttur. Tüm kullanıcıların yükseltme yapmaları önerilir. Herhangi bir geçici çözüm bulunmamaktadır, yeni doğrulama fonksiyonlarını almak için güncelleme gereklidir.
Nasıl düzeltilir
- inventree_project inventree0.16.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| inventree_project inventree | v < 0.16.5 | 0.16.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.