CVE-2026-61685
Açıklama
ReactPress, React geliştiricileri için bir yayınlama sistemidir. Versiyon 3.7.0 öncesinde, ReactPress API liste uç noktaları, temizlenmemiş HTTP sorgu parametresi adlarını SQL sütun tanımlayıcıları olarak kullanarak (örneğin `` `article.${key}` ``) TypeORM `QueryBuilder` koşulları oluşturmaktadır. TypeORM değerleri parametreleştirir ancak sütun adlarını parametreleştirmez; bu durum, kimliği doğrulanmamış saldırganların özel olarak hazırlanmış sorgu dizesi anahtarları aracılığıyla SQL enjeksiyonu yapmasına olanak tanır. Versiyon 3.7.0 bir yama içermektedir. Geçici bir çözüm olarak, SQL'e eklemeden önce izin verilen filtreleme sütun adlarının beyaz listeye alınması önerilir.
Nasıl düzeltilir
- @fecommunity/reactpress3.7.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @fecommunity/reactpressnpm | v < 3.7.0 | 3.7.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.