CVE-2025-57768
Açıklama
Phproject yüksek performanslı ve tam özellikli bir proje yönetim sistemidir. 1.8.0 ile 1.8.3 sürümleri arasında, yeni bir proje oluştururken Planned Hours alanında saklanan siteler arası betik çalıştırma (XSS) zafiyeti bulunmaktadır. /issues/new/ adresine bir POST isteği gönderildiğinde, Planned Hours alanında sağlanan değer herhangi bir HTML kodlaması veya temizleme işlemi yapılmadan sunucu yanıtına dahil edilir. Bu nedenle, bir saldırgan <script>alert(1)</script> gibi kötü amaçlı bir yük hazırlayabilir ve bunu planned_hours parametresine ekleyebilir. Sunucu, girdiyi doğrudan proje oluşturma sayfasının HTML içeriğine yansıtarak tarayıcının bunu yorumlamasına ve yürütmesine neden olur. Bu zafiyet 1.8.3 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Alanaktion phproject | >= 1.8.0, < 1.8.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.