CVE-2026-62346
Açıklama
Wanderer, maceraları kaydetmek ve paylaşmak için kullanılan self-hosted bir rota veritabanıdır. 0.19.3 sürümünden önce, kimliği doğrulanmış yerel bir kullanıcı; web/src/lib/vendor/maplibre-elevation-profile/elevationprofile.ts dosyasındaki rota yükseklik grafiğinin, HTML kodlaması veya simge doğrulaması yapmadan bir innerHTML şablonuna dahil ettiği özel olarak hazırlanmış waypoint.name ve waypoint.icon değerleri gönderebilir. Yükseklik profilini görüntüleyen bir kurban, saldırgan tarafından kontrol edilen betiği tarayıcısında çalıştırır. Ayrıca, federasyon yoluyla paylaşılan yol noktaları, saldırganın alıcı örnekte yerel bir hesaba sahip olmasını gerektirmeden aynı kötü amaçlı alanları örnekler arasında iletebilir. Betik, oturum verilerini ifşa edebilir veya kurbanın bağlamında işlemler gerçekleştirebilir. Bu sorun 0.19.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| open-wanderer wanderer | < 0.19.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.