CVE-2025-62430
Açıklama
ClipBucket v5, açık kaynaklı bir video paylaşım platformudur. ClipBucket v5, build 5.5.2 #145'e kadar, birden fazla video ve fotoğraf meta veri alanında kalıcı siteler arası betik çalıştırmaya (XSS) izin verir. Videolar için Tags alanı ile Movieinfos içindeki Genre, Actors, Producer, Executive Producer ve Director alanları, kullanıcı tarafından sağlanan değerleri yeterli düzeyde temizleme yapmadan kabul eder. Fotoğraflar için Photo Title ve Photo Tags alanları, kullanıcı tarafından sağlanan değerleri yeterli düzeyde temizleme yapmadan kabul eder. Bir videoyu veya fotoğrafı düzenleyebilen normal bir kullanıcı, betik enjekte edebilir (örneğin, kapatma sınırlayıcısı ve ardından bir script öğesi içeren bir değer sağlayarak). Enjekte edilen betik, kimliği doğrulanmamış bir ziyaretçi veya bir yönetici dahil olmak üzere herhangi bir kullanıcı etkilenen video veya fotoğraf sayfasını görüntülediğinde çalışır. Çerezler HttpOnly özniteliğiyle ayarlanmış olsa ve doğrudan okunamasalar da, enjekte edilen betik admin_area sayfaları gibi uç noktalara fetch istekleri gönderebilir ve içeriklerini sızdırabilir veya istenmeyen eylemleri tetikleyebilir. Sürüm 5.5.2 build #146 ve sonrası bir düzeltme içerir. Build 5.5.2 #146 veya sonrasına güncelleyin. Bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- oxygenz clipbucket5.5.2-146 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| oxygenz clipbucket | 5.3 ≤ v < 5.5.2-146 | 5.5.2-146 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.