- Yama var
- Son 7 gün
- CWE-79
CVE-2024-58394
Retool'da /api/imageProxy üzerinden SVG vekil sunumu nedeniyle siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
3.88.0 öncesi Retool, kimlik doğrulaması yapılmamış saldırganların /api/imageProxy üzerinden kötü amaçlı SVG dosyalarını vekil sunucu aracılığıyla işlemesine izin veren bir siteler arası betik çalıştırma (XSS) açığı içermektedir. Saldırganlar url parametresinde saldırgan kontrolündeki bir SVG dosyası belirtebilmekte; bu dosya İçerik Güvenlik Politikası (CSP) olmadan Retool kökeninden sunulmakta ve kurbanların oturumlarında JavaScript çalıştırılmaktadır. Bu açığın istismarına dair ilk kanıt, Shadowserver Foundation tarafından 2024-10-15 tarihinde gözlemlenmiştir. CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N vektörüyle 6.0999999999999996447286321199499070644378662109375 puanla ORTA seviyede derecelendirilmiştir.
Kaynaktaki açıklama (İngilizce)
Retool before 3.88.0 contains a cross-site scripting vulnerability that allows unauthenticated attackers to execute scripts by proxying malicious SVG files through /api/imageProxy. Attackers can supply an attacker-hosted SVG in the url parameter, which is served from the Retool origin without a Content Security Policy, executing JavaScript in victims' sessions. Exploitation evidence was first observed by the Shadowserver Foundation on 2024-10-15.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Retool | < 3.88.0 | 3.88.0 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.