CVE-2024-8370
Açıklama
Grocy 4.2.0 sürümüne kadar olan versiyonlarında sorunlu olarak sınıflandırılan bir zafiyet bulundu. Bu zafiyet, SVG File Upload Handler bileşeninin /api/files/recipepictures/ dosyasının bilinmeyen kodlarını etkilemektedir. force_serve_as argümanının picture' girdisiyle manipüle edilmesi, siteler arası betik çalıştırmaya (XSS) yol açmaktadır. Saldırı uzaktan başlatılabilir. Exploit kamuya açıklanmıştır ve kullanılabilir. Bu zafiyetin gerçek varlığı şu an için hala şüphelidir. Maalesef proje yöneticisi, anlaşmazlık gerekçesiyle ilgili olarak hiçbir şekilde alıntılanmak istememektedir. Projenin güvenlik politikası, kimlik doğrulama gereksinimleri nedeniyle bu bulgunun "pratikte ilgisiz" olduğunu belirtmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| grocy_project grocy | v ≤ 4.2.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.