CVE-2025-71177
Açıklama
LavaLite CMS'in 10.1.0 dahil önceki sürümleri, paket oluşturma ve arama işlevselliğinde saklanan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Kimliği doğrulanmış kullanıcılar, paket Adı veya Açıklama alanlarına özel olarak hazırlanmış HTML veya JavaScript ekleyebilir; bu içerikler kaydedilir ve daha sonra paket arama sonuçlarında uygun çıktı kodlaması yapılmadan işlenir. Diğer kullanıcılar kötü amaçlı paketi içeren arama sonuçlarını görüntülediğinde, enjekte edilen betik tarayıcılarında çalışır ve potansiyel olarak oturum çalma, kimlik bilgisi hırsızlığı ile mağdurun bağlamında yetkisiz işlemler gerçekleştirilmesine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lavalite lavalite | v ≤ 10.1.0 | — |
| lavalite/cmsPackagist | v ≤ 10.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.