CVE-2025-58765
Açıklama
wabac.js, Service Worker'lar kullanarak tam bir web arşivi yeniden oynatma sistemi veya 'wayback machine' sağlar. wabac.js v2.23.10 ve altı sürümlerin 404 hata işleme mantığında bir Yansıtılmış Siteler Arası Betik Çalıştırma (XSS) zafiyeti bulunmaktadır. `requestURL` parametresi (orijinal istek hedefinden türetilen), herhangi bir temizleme veya kaçış işlemi uygulanmadan doğrudan satır içi bir `<script>` bloğuna yerleştirilmektedir. Bu durum, bir saldırganın kurbanın tarayıcısında rastgele JavaScript çalıştıran kötü amaçlı bir URL oluşturmasına olanak tanır. Kapsam, wabac.js'nin kullanıldığı duruma bağlı olarak CORS politikalarıyla sınırlanabilir. Zafiyet, wabac.js v2.23.11 sürümünde giderilmiştir.
Nasıl düzeltilir
- @webrecorder/wabac2.23.11 ya da sonraki bir sürüm
- replaywebpage2.3.17 ya da sonraki bir sürüm
- @webrecorder/archivewebpage0.15.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @webrecorder/wabacnpm | v < 2.23.11 | 2.23.11 |
| replaywebpagenpm | v < 2.3.17 | 2.3.17 |
| @webrecorder/archivewebpagenpm | v < 0.15.4 | 0.15.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.