Apache Sling CMS <1.1.2 存在XSS漏洞-低调大师

Apache Sling CMS <1.1.2 存在XSS漏洞

2022-11-02 492 89

漏洞描述

Apache Sling CMS 是Apache Sling所有功能（如：上下文感知配置、资源映射、重写器和资源合并等）的内容管理系统。

Apache Sling CMS 在1.1.2之前版本中由于在管理功能中创建“Taxonomy”时对用户输入的 Title 和 Name 字段没有进行有效过滤从而存在XSS漏洞，经过身份验证的远程攻击者可利用该漏洞执行任意JavaScript代码，从而窃取受害者的会话令牌或登录凭据。

漏洞名称	Apache Sling CMS <1.1.2 存在XSS漏洞
漏洞类型	XSS
发现时间	2022-11-02
漏洞影响广度	极小
MPS编号	MPS-2022-61025
CVE编号	CVE-2022-43670
CNVD编号	-

影响范围

org.apache.sling:org.apache.sling.cms@(-∞, 1.1.2)

修复方案

升级org.apache.sling:org.apache.sling.cms到 1.1.2 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-61025

https://nvd.nist.gov/vuln/detail/CVE-2022-43670

https://issues.apache.org/jira/projects/SLING/issues/SLING-11622?filter=allissues

https://github.com/apache/sling-org-apache-sling-app-cms/commit/3475697e7a0556fdf0dc6dad1ff5d2a0c0a03e24

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/216189

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

2022-11-03 09:00:00

Visual Studio Code 1.73 正式发布

Visual Studio Code 是一个开源的代码编辑器，支持 IntelliSense、调试、Git 和代码片断。可在 Windows、Linux 和 macOS 上下载使用。支持常见的脚本和编程语言，还可以通过安装扩展来获得更多语言和功能的支持。微软于今天正式发布了 1.73 版本，更新内容如下：从搜索中包括和排除文件夹当在搜索视图的结果树状视图中右键单击一个文件夹时，现在在上下文菜单中有两个新的选项。选择 Restrict Search to Folder（将搜索限制到文件夹）会将选定的文件夹路径添加到要包括的文件文本框中。在这个文本框中添加路径将把搜索结果限制在符合列出的路径或模式的结果中。选择 Exclude Folder from Search（从搜索中排除文件夹）可以将选定的文件夹路径添加到要排除的文件文本框中。在这里添加一个路径将排除任何符合所列路径或模式的搜索结果。 Command Center 模式快捷方式 Command Center（命令中心）增加了一个新的顶部部分，使其容易发现如何导航到文件、运行命令等。这个简短的模式列表还提供了键盘绑定提示，...

419

2022-11-03 07:40:00

每日一博 | eBPF 技术实践：加速容器网络转发，耗时降低 60%+

背景 Linux 具有功能丰富的网络协议栈，并且兼顾了非常优秀的性能。但是，这是相对的。单纯从网络协议栈各个子系统的角度来说，确实做到了功能与性能的平衡。不过，当把多个子系统组合起来，去满足实际的业务需求，功能与性能的天平就会倾斜。容器网络就是非常典型的例子，早期的容器网络，利用 bridge、netfilter + iptables （或lvs）、veth等子系统的组合，实现了基本的网络转发；然而，性能却不尽如人意。原因也比较明确：受限于当时的技术发展情况，为了满足数据包在不同网络 namespace 之间的转发，当时可以选择的方案只有 bridge + veth 组合；为了实现 POD 提供服务、访问 NODE 之外的网络等需求，可以选择的方案只有 netfilter + iptables（或 lvs）。这些组合的技术方案增加了更多的网络转发耗时，故而在性能上有了更多的损耗。然而，eBPF 技术的出现，彻底改变了这一切。eBPF 技术带来的内核可编程能力，可以在原有漫长转发路径上，制造一些“虫洞”，让报文快速到达目的地。针对容器网络的场景，我们可以利用 eBPF，略过 brid...

351

资源下载

更多资源

优质分享Android(本站安卓app)

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Eclipse（集成开发环境）

Eclipse 是一个开放源代码的、基于Java的可扩展开发平台。就其本身而言，它只是一个框架和一组服务，用于通过插件组件构建开发环境。幸运的是，Eclipse 附带了一个标准的插件集，包括Java开发工具（Java Development Kit，JDK）。

Java Development Kit(Java开发工具)

JDK是 Java 语言的软件开发工具包，主要用于移动设备、嵌入式设备上的java应用程序。JDK是整个java开发的核心，它包含了JAVA的运行环境（JVM+Java系统类库）和JAVA工具。

Sublime Text 一个代码编辑器

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。