- Yama var
- Son 7 gün
- CWE-79
CVE-2016-20102
JavaMelody'de monitoring graph parametresi üzerinden yansıtılmış siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
JavaMelody 1.60.0 öncesi sürümler, kimlik doğrulaması yapılmamış saldırganların /monitoring?part=graph adresindeki graph parametresine özel hazırlanmış değerler vererek betik enjekte etmesine olanak tanıyan yansıtılmış bir siteler arası betik çalıştırma (XSS) açığı içerir. Saldırganlar graph değerine kapatma script etiketi ekleyebilir; bu değer yalnızca HtmlCounterReport içinde JavaScript için kaçış karakterlerine dönüştürülür ve böylece kurbanların tarayıcılarında betik çalıştırılabilir. Bu açığın istismarına ait ilk kanıt, 18.10.2023 tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
JavaMelody before 1.60.0 contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to inject script by supplying crafted values in the graph parameter of /monitoring?part=graph. Attackers can include a closing script tag in the graph value, which is only JavaScript-escaped in HtmlCounterReport, to execute script in victims' browsers. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-18.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| JavaMelody | ≥ 1.8.2, < 1.60.0 | 1.60.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.