CVE-2024-47882
Açıklama
OpenRefine, karmaşık verilerle çalışmak için kullanılan ücretsiz ve açık kaynaklı bir araçtır. Versiyon 3.8.3 öncesinde, yerleşik "Something went wrong!" hata sayfası, istisna mesajını ve istisna izleme kaydını (traceback) HTML etiketlerini kaçırmadan (escaping) içerdiği için, bir saldırganın saldırgan tarafından etkilenen bir mesajla güvenilir bir şekilde hata oluşturabilmesi durumunda sayfaya enjeksiyon yapılmasına olanak tanır. OpenRefine'ın kendisinde bu koda ulaşmanın tek yolunun, bir saldırganın kurbanı kötü amaçlı bir dosyayı içe aktarmaya ikna etmesi olduğu görülmektedir ki bu zor olabilir. Ancak, ağaç dışı (out-of-tree) uzantılar `respondWithErrorPage` fonksiyonuna kendi çağrılarını ekleyebilirler. Versiyon 3.8.3, bu sorun için bir düzeltme içermektedir.
Nasıl düzeltilir
- openrefine openrefine3.8.3 ya da sonraki bir sürüm
- org.openrefine:openrefine3.8.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openrefine openrefine | v < 3.8.3 | 3.8.3 |
| org.openrefine:openrefineMaven | v < 3.8.3 | 3.8.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.