CVE-2025-27500
Açıklama
OpenZiti, herhangi bir uygulamaya sıfır güven getirmeye odaklanan ücretsiz ve açık kaynaklı bir projedir. Yönetim panelindeki bir uç noktaya (/api/upload), herhangi bir kimlik doğrulama olmadan erişilebilmektedir. Bu uç nokta, düğüm üzerinde saklanan ve URL üzerinden erişilebilen bir dosya yüklemek için HTTP POST isteği kabul eder. Yüklenen dosyanın kötü amaçlı kod içermesi ve ardından kullanıcının tarayıcısı bağlamında erişilip çalıştırılması durumunda, bu durum kalıcı siteler arası betik çalıştırma (XSS) saldırısına yol açabilir. ziti-console'un bir düğüm sunucu uygulamasından tek sayfa uygulamasına geçmesiyle birlikte bu işlev artık gerekli kalmamış ve devre dışı bırakılmıştır. Güvenlik açığı 3.7.1 sürümünde giderilmiştir.
Nasıl düzeltilir
- openziti openziti3.7.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openziti openziti | v < 3.7.1 | 3.7.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.