CVE-2025-5352
Açıklama
lunary-ai/lunary bileşeninin 1.9.23 sürümüne kadar olan versiyonlarının Analytics bileşeninde kritik bir saklı siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır; burada NEXT_PUBLIC_CUSTOM_SCRIPT ortam değişkeni, herhangi bir temizleme veya doğrulama yapılmaksızın dangerouslySetInnerHTML kullanılarak doğrudan DOM'a enjekte edilmektedir. Bu durum, bir saldırganın dağıtım sırasında veya sunucu ele geçirilmesi yoluyla ortam değişkenini kontrol edebilmesi halinde, tüm kullanıcıların tarayıcılarında rastgele JavaScript çalıştırılmasına olanak tanır. Zafiyet; tam hesap ele geçirme, veri sızdırma, kötü amaçlı yazılım dağıtımı ve ortam değişkeni temizlenene kadar tüm kullanıcıları etkileyen kalıcı saldırılara yol açabilir. Sorun 1.9.25 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- lunary lunary1.9.25 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lunary lunary | v < 1.9.25 | 1.9.25 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.