CVE-2025-59430
Açıklama
Mesh Connect JS SDK, Mesh Connect ile entegrasyon için JS kütüphaneleri içerir. Versiyon 3.3.2 öncesinde, createLink.openLink fonksiyonundaki URL protokollerinin temizlenmemesi, üst sayfa bağlamında rastgele JavaScript kodunun çalıştırılmasına olanak tanır. Bu durum, oluşturma düzeyinde gerçek bir sayfadan teknik olarak ayırt edilemez ve üst sayfanın DOM'una, depolamasına, oturumuna ve çerezlerine erişim sağlar. Saldırgan customIframeId parametresini belirleyebilirse, mevcut iframe'lerin kaynağını ele geçirebilir. Bu sorun versiyon 3.3.2 ile düzeltilmiştir.
Nasıl düzeltilir
- @meshconnect/web-link-sdk3.3.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @meshconnect/web-link-sdknpm | v < 3.3.2 | 3.3.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.