CVE-2025-29774
Açıklama
xml-crypto, Node.js için bir XML dijital imza ve şifreleme kütüphanesidir. Bir saldırgan; imzalı XML belgelerini doğrulamak için xml-crypto kullanan sistemlerde, 6.0.1, 3.2.1 ve 2.1.6 öncesi sürümlerde bulunan bir zafiyeti istismar ederek kimlik doğrulama veya yetkilendirme mekanizmalarını atlatabilir. Zafiyet, bir saldırganın geçerli olarak imzalanmış bir XML mesajını, imza doğrulama kontrollerinden hala geçecek şekilde değiştirmesine olanak tanır. Örneğin, kritik kimlik veya erişim kontrolü özniteliklerini değiştirmek için kullanılabilir ve bu da geçerli bir hesaba sahip olan bir saldırganın yetki yükseltmesine veya başka bir kullanıcıyı taklit etmesine imkan sağlar. 6.0.0 ve önceki sürümleri kullanan kullanıcılar, düzeltmeyi almak için 6.0.1 sürümüne yükseltmelidir. Hala v2.x veya v3.x kullananlar ise sırasıyla yamalanmış versiyonlar olan 2.1.6 veya 3.2.1'e yükseltmelidir.
Nasıl düzeltilir
- xml-crypto6.0.1, 3.2.1, 2.1.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| xml-cryptonpm | 4.0.0 ≤ v < 6.0.1, 3.0.0 ≤ v < 3.2.1, v < 2.1.6 | 6.0.1, 3.2.1, 2.1.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.