ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تطبيق GeoNetwork هو تطبيق كتالوج لإدارة الموارد المرجعية مكانياً. من الإصدار 3.0.0 حتى 4.2.15 و4.4.10، قد يؤدي طلب عنوان URL لخدمة غير موجودة أو غير مصرح بها إلى قيام صفحة خطأ بعرض محتوى الطلب الخاضع لسيطرة المهاجم داخل تطبيق AngularJS دون تحييده بشكل مناسب لتقييم القالب. يمكن لمهاجم عن بُعد حث الضحية، بما في ذلك المسؤول، على فتح رابط مصمم بحيث يتم تقييم القيمة المنعكسة كتعبير قالب AngularJS. بالkـمبادل مع تقنيات الهروب من صندوق الحماية المعروفة لـ AngularJS، يمكن أن يؤدي هذا إلى تنفيذ شيفرة JavaScript عشوائية في جلسة المتصفح المصادق عليها للضحية، أو الكشف عن معلومات، أو تنفيذ إجراءات بصفتك الضحية. تم إصلاح هذه المشكلة في الإصدارين 4.2.15 و4.4.10.
المعالجة
المراجع
- مرجعhttps://github.com/geonetwork/core-geonetwork/security/advisories/GHSA-2v4m-fw6c-g78f
- مرجعhttps://github.com/geonetwork/core-geonetwork/commit/5cacdfaa6db88ef6787495b496a0871c0058b7f4
- مرجعhttps://github.com/geonetwork/core-geonetwork/commit/dd99c2ffb642f89b8bf72bafd04d824c9fc0d0ef
- مرجعhttps://github.com/geonetwork/core-geonetwork/releases/tag/4.2.15
- مرجعhttps://github.com/geonetwork/core-geonetwork/releases/tag/4.4.10