CVE-2024-48914
Açıklama
Vendure, açık kaynaklı bir headless ticaret platformudur. Versiyonlar 3.0.5 ve 2.3.3 öncesinde, Vendure'un asset server eklentisindeki bir güvenlik açığı, saldırganın sunucu dosya sisteminde gezinmesini sağlayan ve yapılandırma dosyaları, ortam değişkenleri ile sunucuda saklanan diğer kritik veriler gibi hassas içerikler dahil olmak üzere rastgele dosyaların içeriğini alabilen bir istek oluşturmasına olanak tanır. Aynı kod yolunda, hatalı biçimlendirilmiş bir URI aracılığıyla sunucunun çökertilmesine neden olabilecek ek bir vektör bulunmaktadır. Yamalar versiyonlar 3.0.5 ve 2.3.3'te mevcuttur. Bazı geçici çözümler de bulunmaktadır; yerel dosya sistemi yerine örneğin MinIO veya S3 gibi nesne depolama kullanılabilir veya `/../` içeren URL'lere sahip istekleri tespit edip engelleyen bir ara yazılım tanımlanabilir.
Nasıl düzeltilir
- @vendure/asset-server-plugin2.3.3, 3.0.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @vendure/asset-server-pluginnpm | v < 2.3.3, 3.0.0 ≤ v < 3.0.5 | 2.3.3, 3.0.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.