CVE-2025-64758
Açıklama
@dependencytrack/frontend, kuruluşların yazılım tedarik zincirindeki riskleri belirlemesine ve azaltmasına olanak tanıyan açık kaynaklı bir Bileşen Analizi platformu olan Dependency-Track'te kullanılan bir Tek Sayfa Uygulamasıdır (SPA). Sürüm 4.12.0'dan itibaren, SYSTEM_CONFIGURATION iznine sahip Dependency-Track kullanıcıları, markalama amacıyla giriş sayfasında oluşturulacak bir HTML içeriği olan "karşılama mesajı"nı yapılandırabilmektedir. Karşılama mesajını oluştururken, 4.13.6 öncesindeki Dependency-Track sürümleri HTML içeriğini uygun şekilde temizlememiş ve bu durum rastgele JavaScript yürütülmesine izin vermiştir. SYSTEM_CONFIGURATION iznine sahip kullanıcılar (yani yöneticiler), giriş sayfasını ziyaret eden kullanıcılar için rastgele JavaScript yürütmek amacıyla bu zafiyeti istismar edebilirler. Sorun 4.13.6 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- @dependencytrack/frontend4.13.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @dependencytrack/frontendnpm | 4.12.0 ≤ v < 4.13.6 | 4.13.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.