CVE-2026-27612
Açıklama
Repostat, GitHub depo bilgilerini getirmek ve görüntülemek için kullanılan bir React bileşenidir. Versiyon 1.0.1 öncesinde, `RepoCard` bileşeni Yansıtılmış Siteler Arası Betik Çalıştırma (XSS) saldırılarına karşı savunmasızdır. Bu güvenlik açığı, bileşenin yükleme durumu sırasında depo adını (`repo` prop'u) herhangi bir temizleme işlemi yapmadan render etmek için React'in `dangerouslySetInnerHTML` özelliğini kullanmasından kaynaklanmaktadır. Eğer bu paketi kullanan bir geliştirici, doğrulanmamış kullanıcı girişini doğrudan `repo` prop'una aktarırsa (örneğin, bir URL sorgu parametresinden okursa), bir saldırgan kullanıcının tarayıcısı bağlamında rastgele JavaScript kodu çalıştırabilir. Versiyon 1.0.1 ile `dangerouslySetInnerHTML` kullanımı kaldırılmış ve `repo` prop'u artık HTML varlıklarını otomatik olarak kaçıran standart React JSX veri bağlama yöntemiyle güvenli bir şekilde render edilmektedir.
Nasıl düzeltilir
- denpiligrim repostat1.0.1 ya da sonraki bir sürüm
- repostat1.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| denpiligrim repostat | v < 1.0.1 | 1.0.1 |
| repostatnpm | v < 1.0.1 | 1.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.