CVE-2025-48939
Açıklama
tarteaucitron.js uyumlu ve erişilebilir bir çerez banner'ıdır. Versiyon 1.22.0 öncesinde, tarteaucitron.js içerisinde document.currentScript özelliğine, gerçek bir <script> öğesine referans verdiğinin doğrulanmadan erişildiği bir güvenlik açığı tespit edilmiştir. Bir saldırgan HTML öğesi enjekte ederse, document.currentScript özelliğini geçersiz kılabilir (clobber). Bu durum, betiğin <script> etiketi yerine yanlışlıkla bir öğeye çözümlenmesine neden olarak beklenmedik davranışlara veya betik yolunun doğru şekilde yüklenememesine yol açar. Bu sorun, bazı tarayıcı ortamlarında adlandırılmış DOM öğelerinin küresel document nesnesi üzerinde özellikler haline gelmesinden kaynaklanmaktadır. HTML üzerinde kontrol sahibi olan bir saldırgan, bunu tarteaucitron'un CDN alan adını değiştirmek için kullanabilir. Bu sorun versiyon 1.22.0 ile düzeltilmiştir.
Nasıl düzeltilir
- amauri tarteaucitronjs1.22.0 ya da sonraki bir sürüm
- tarteaucitronjs1.22.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| amauri tarteaucitronjs | v < 1.22.0 | 1.22.0 |
| tarteaucitronjsnpm | v < 1.22.0 | 1.22.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.