CVE-2021-45721:用户REST API上的跨站点脚本(XSS)

CVE ID	严重程度	发表的日期	日期更新
cve - 2021 - 45721	媒介	07/05/202	07/05/2022

版本之前的JFrog人工7.29.8和6.23.38很容易通过用户REST API端点中的一个XHR参数受到反射跨站脚本(XSS)的攻击。

严重性:中等

CVSSv3.1得分:6.1AV: N /交流:L /公关:H / UI: R / S: U / C: H /我:H: N

产品	影响版本	打补丁的版本
Artifactory (7. x)	< 7.29.8	7.29.8
Artifactory (6. x)	< 6.23.38	6.23.38

此漏洞影响JFrog人工部署。

此问题要求攻击者以管理员身份对JFrog Artifactory进行身份验证

受影响的云环境已经使用固定版本进行了加固。对于云实例不需要任何操作。

要解决这个问题，需要采取一些行动．

将您的Artifactory或Edge版本升级到以下列出的版本之一:

产品	版本	链接
Artifactory (7. x)	7.29.8及以上	https://releases.jfrog.io
Artifactory (6. x)	6.23.38及以上	https://releases.jfrog.io

除了升级到固定版本之外，没有任何建议的解决方法。

CWE - 79：在网页生成过程中不恰当地中和输入(“跨站脚本”)

这个问题是由米其林CERT的Maxime Escourbiac和Maxence Schmitt发现并报告的。

如果您对此建议有任何疑问或疑虑，请在JFrog支持门户．