CVE-2024-58394
Açıklama
3.88.0 öncesindeki Retool, kimlik doğrulaması yapmamış saldırganların /api/imageProxy üzerinden kötü amaçlı SVG dosyalarını vekilleyerek betikler çalıştırmasına olanak tanıyan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Saldırganlar, url parametresine kendi sunucularında barındırdıkları bir SVG dosyasını ekleyebilirler; bu dosya, İçerik Güvenliği Politikası (CSP) olmaksızın Retool kaynağı üzerinden sunulur ve mağdurların oturumlarında JavaScript çalıştırılmasına neden olur. İstismara dair kanıtlar ilk olarak 2024-10-15 tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Nasıl düzeltilir
- Retool Retool3.88.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Retool Retool | v < 3.88.0 | 3.88.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.