CVE-2024-47605

اسم البرنامج المعرض للخطر والإصدارات المتأثرة:

silverstripe-asset-admin الإصدارات الأقدم من 5.3.8

silverstripe/framework الإصدارات الأقدم من 5.3.8

الوصف:

تظهر المشكلة عند استخدام وظيفة ”insert media“، حيث يتضمن JSON oEmbed المرتبط سمة HTML تستبدل الرمز القصير للتضمين. ونظرًا لعدم تنقية HTML قبل استبدال الرمز القصير، فإن ذلك يسمح بتنفيذ حمل نصي برمجي في كل من نظام إدارة المحتوى (CMS) والواجهة الأمامية للموقع الإلكتروني.

التوصيات:

بالنسبة لإصدارات silverstripe-asset-admin الأقدم من 5.3.8، قم بالتحديث إلى الإصدار 5.3.8 أو أحدث.

بالنسبة لإصدارات silverstripe/framework الأقدم من 5.3.8، قم بالتحديث إلى الإصدار 5.3.8 أو أحدث.

كحل مؤقت، يُنصح بتعطيل وظيفة «insert media» حتى يتوفر تصحيح.

قم بتقييد الوصول إلى نقطة نهاية JSON الخاصة بـ oEmbed لتقليل مخاطر الاستغلال.

تجنب استخدام وظيفة insert media في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة.