CVE-2025-58172
Açıklama
drawnix, hepsi bir arada açık kaynaklı bir beyaz tahta aracıdır. drawnix'in 0.2.1 ve öncesi sürümlerinde, hata ayıklama günlüğü işlevselliğinde siteler arası betik çalıştırma (XSS) güvenlik açığı bulunmaktadır. Global __drawnix__web__console işlevi çağrıldığında, kullanıcı tarafından kontrol edilen içerik, apps/web/src/app/app.tsx dosyasında div.innerHTML = value ifadesinin yürütüldüğü yerde görüldüğü üzere, temizleme işlemi yapılmadan doğrudan innerHTML aracılığıyla DOM'a eklenmektedir. Bu durum, bir saldırganın güvenilmeyen verilerin hata ayıklama günlükleyicisine iletilmesine neden olabilmesi halinde (örneğin kötü amaçlı bir uzantı veya başka bir enjeksiyon vektörü aracılığıyla), uygulama bağlamında rastgele JavaScript yürütülmesine olanak tanıyabilir ve potansiyel olarak kullanıcı verilerini açığa çıkarabilir veya yetkisiz eylemlere olanak sağlayabilir. Sorun 0.3.0 sürümünde giderilmiştir. 0.3.0 veya sonraki bir sürüme güncelleme yapılması önerilir. Bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| plait-board drawnix | < 0.3.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.