CVE-2025-12848
Açıklama
Drupal 7.x için Webform Multiple File Upload modülü, dosya adı oluşturucuda siteler arası betik çalıştırma (XSS) güvenlik açığı içermektedir. Kimlik doğrulaması yapılmamış bir saldırgan, dosya türü doğrulamasının devre dışı bırakıldığı Multifile alanına sahip bir Webform düğümüne JavaScript kodu içeren kötü amaçlı bir dosya adı (ör. "<img src=1 onerror=alert(document.domain)>") yükleyerek bu güvenlik açığından yararlanabilir. Bu, kurbanın tarayıcısı bağlamında rastgele betiklerin çalıştırılmasına olanak tanır. Sorun üçüncü taraf bir kütüphanede mevcuttur ve https://github.com/fyneworks/multifile/pull/44 adresinde bulunan bir yama ile giderilmiştir. Kullanıcıların sağlanan yamayı uygulamaları veya modülün düzeltilmiş bir sürümüne güncelleme yapmaları önerilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| webform_multiple_file_upload_project webform_multiple_file_upload | 7.x-1.2, 7.x-1.3, 7.x-1.4, 7.x-1.5, 7.x-1.6, 7.x-1.x | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.