- Son 7 gün
- CWE-79
CVE-2020-37284
Sickbeard'da testNaming parametresi üzerinden yansıtılmış siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Sickbeard build-507 dahil olmak üzere önceki sürümlerde, kimlik doğrulaması yapılmamış saldırganların /config/postProcessing/testNaming adresinin pattern parametresi aracılığıyla betik enjekte etmesine izin veren yansıtılmış siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Saldırganlar, testNaming işleyicisinin kaçış karakterleri uygulanmadan geri döndürdüğü kötü amaçlı SVG onload yüklerini içeren GET istekleri oluşturabilir ve böylece kurbanların tarayıcılarında JavaScript çalıştırılabilir. Bu istismar girişimlerine ilk kez 2023-10-22 tarihinde Shadowserver Foundation tarafından tanık olunmuştur.
Kaynaktaki açıklama (İngilizce)
Sickbeard through build-507 contains a reflected cross-site scripting vulnerability that allows unauthenticated attackers to inject scripts through the pattern parameter of /config/postProcessing/testNaming. Attackers can craft GET requests with malicious SVG onload payloads that the testNaming handler returns unescaped, executing JavaScript in victims' browsers. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-22.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| midgetspy Sickbeard | ≤ build-507 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.