CVE-2024-8008
Açıklama
JDBC kullanıcı deposu bağlantı doğrulama isteği tarafından oluşturulan hata mesajlarındaki yetersiz çıktı kodlaması nedeniyle birden fazla WSO2 ürününde yansıtılmış bir siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. Kötü niyetli bir aktör, isteğe özel olarak hazırlanmış bir yük enjekte ederek tarayıcının, savunmasız sayfanın bağlamında rastgele JavaScript yürütmesine neden olabilir. Bu zafiyet; kullanıcı arayüzü manipülasyonuna, kötü amaçlı web sitelerine yönlendirmeye veya tarayıcıdan veri sızdırılmasına izin verebilir. Ancak, oturumla ilgili tüm hassas çerezler httpOnly bayrağı ile korunduğundan, oturum çalma mümkün değildir.
Nasıl düzeltilir
- org.wso2.carbon.identity.framework:org.wso2.carbon.identity.user.store.configuration.ui7.5.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wso2 api_manager | 3.1.0, 3.2.0, 3.2.1, 4.0.0, 4.1.0, 4.2.0, 4.3.0 | — |
| wso2 enterprise_integrator | 6.6.0 | — |
| wso2 identity_server | 5.10.0, 5.11.0, 6.0.0, 6.1.0, 7.0.0 | — |
| wso2 identity_server_as_key_manager | 5.10.0 | — |
| wso2 open_banking_am | 2.0.0 | — |
| wso2 open_banking_iam | 2.0.0 | — |
| org.wso2.carbon.identity.framework:org.wso2.carbon.identity.user.store.configuration.uiMaven | v < 7.5.12 | 7.5.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.