CVE-2024-51492
Açıklama
Zusam, özel forumları kendi sunucunuzda barındırmanız için ücretsiz ve açık kaynaklı bir yöntemdir. Versiyon 0.5.6 öncesinde, servise görsel olarak yüklenen özel olarak hazırlanmış SVG dosyaları, (ham) görsel yüklendiğinde kısıtlanmamış betik çalıştırılmasına izin verir. Belirli payload'lar ile hedef kullanıcının uzun ömürlü oturum belirtecinin çalınması mümkündür. Yazım anında Zusam'ın, kullanıcının statik API anahtarını uzun ömürlü bir oturum belirteci olarak kullandığı ve bu terimlerin platform üzerinde birbirinin yerine kullanılabileceği unutulmamalıdır. Bu oturum belirteci/API anahtarı, kullanıcı Ayarlar sayfası üzerinden açıkça yeni bir tane talep etmediği sürece süresiz olarak geçerli kalır. Versiyon 0.5.6, siteler arası betik çalıştırma (XSS) zafiyetini giderir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zusam zusam | < 0.5.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.