CVE-2024-49377

OctoPrint, tüketici tipi 3D yazıcıları kontrol etmek için bir web arayüzü sağlar. 1.10.2 sürümü dahil olmak üzere önceki OctoPrint sürümleri, giriş iletişim kutusunda ve bağımsız uygulama anahtarı onay iletişim kutusunda yansıtılmış XSS zafiyetleri içermektedir. Bir kurbanı özel olarak hazırlanmış bir giriş bağlantısına tıklamaya ikna eden veya kurbanın bilgisayarında çalışan kötü amaçlı bir uygulamanın özel parametrelerle uygulama anahtarı iş akışını tetikleyip ardından kurbanı ilgili bağımsız onay iletişim kutusuna yönlendiren bir saldırgan; bunu hassas yapılandırma ayarlarını almak veya değiştirmek, baskıları kesintiye uğratmak veya aksi takdirde OctoPrint örneğiyle kötü niyetli bir şekilde etkileşime girmek için kullanabilir. Giriş iletişim kutusu ve bağımsız uygulama anahtar onay iletişim kutusunun yukarıda belirtilen spesifik zafiyetleri, tespit edilen konumların tek tek kaçırılmasıyla (escaping) 1.10.3 hata düzeltme sürümünde yamalanmıştır. Yaklaşan 1.11.0 sürümü ile tüm OctoPrint şablonlama sisteminde yapılacak genel bir değişiklik, küresel olarak zorunlu otomatik kaçırmaya geçerek bu durumu daha kapsamlı bir şekilde ele alacak ve böylece genel saldırı yüzeyini azaltacaktır. Bu son geliştirme, üçüncü taraf eklentilerin güvenliğini de artıracaktır. Geçiş süreci boyunca, üçüncü taraf eklentiler otomatik kaçırmayı seçebileceklerdir. OctoPrint 1.13.0 ile birlikte, açıkça devre dışı bırakmadıkları sürece, otomatik kaçırma üçüncü taraf eklentiler için bile zorunlu hale getirilecektir.