CVE-2025-32391
Açıklama
HedgeDoc; açık kaynaklı, gerçek zamanlı ve iş birlikli bir markdown not uygulamasıdır. 1.10.3 sürümünden önce, HedgeDoc'a yüklenen kötü amaçlı bir SVG dosyasının editör yerine yeni bir sekmede açılması durumunda XSS olasılığı ortaya çıkmaktadır. XSS, GitHub Gist gömmelerinin JSONP yetenekleri kullanılarak gerçekleştirilebilir. Yalnızca yerel dosya sistemi yükleme arka ucuna sahip olan veya yüklemelerin HedgeDoc ile aynı alan adından sunulduğu özel yapılandırmalara sahip örnekler savunmasızdır. Bu güvenlik açığı 1.10.3 sürümünde giderilmiştir. HedgeDoc 1.10.3 sürümüne yükseltmenin mümkün olmadığı durumlarda, örnek sahipleri ilk önlem olarak /uploads altındaki tüm rotalar için şu başlıkları ekleyebilir: Content-Disposition: attachment ve Content-Security-Policy: default-src 'none'. Ek olarak, Content-Security-Policy başlığının script-src özniteliğindeki harici URL'ler kaldırılmalıdır.
Nasıl düzeltilir
- hedgedoc hedgedoc1.10.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hedgedoc hedgedoc | v < 1.10.3 | 1.10.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.