प्लेटफ़ॉर्म
go
घटक
github.com/beego/beego
में ठीक किया गया
2.3.7
2.3.6
CVE-2025-30223 beego.com/beego में एक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता है। यह भेद्यता हमलावरों को दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने की अनुमति देती है, जिससे उपयोगकर्ता डेटा चोरी हो सकता है या उपयोगकर्ता को अनजाने में हानिकारक क्रियाएं करने के लिए मजबूर किया जा सकता है। यह भेद्यता beego के RenderForm() फ़ंक्शन में असुरक्षित उपयोगकर्ता इनपुट के कारण मौजूद है। प्रभावित संस्करण 2.3.6 से पहले के हैं। इस समस्या को हल करने के लिए 2.3.6 में अपडेट करें।
यह XSS भेद्यता हमलावरों को उपयोगकर्ता के ब्राउज़र में दुर्भावनापूर्ण स्क्रिप्ट चलाने की अनुमति देती है। हमलावर उपयोगकर्ता को एक विशेष रूप से तैयार किए गए लिंक पर क्लिक करने या एक दुर्भावनापूर्ण वेबसाइट पर जाने के लिए बरगला सकते हैं। एक बार स्क्रिप्ट चल जाने के बाद, हमलावर कुकीज़, सत्र टोकन और अन्य संवेदनशील जानकारी चुरा सकते हैं। वे उपयोगकर्ता के खाते को भी नियंत्रित कर सकते हैं या उपयोगकर्ता को अनजाने में हानिकारक क्रियाएं करने के लिए मजबूर कर सकते हैं। इस भेद्यता का उपयोग फ़िशिंग हमलों को लॉन्च करने, वेबसाइट को डिफेस करने या उपयोगकर्ता के सिस्टम को मैलवेयर से संक्रमित करने के लिए भी किया जा सकता है। यह भेद्यता विशेष रूप से उन अनुप्रयोगों के लिए खतरनाक है जो उपयोगकर्ता इनपुट को प्रदर्शित करने के लिए beego का उपयोग करते हैं।
CVE-2025-30223 को अभी तक KEV में शामिल नहीं किया गया है। EPSS स्कोर का मूल्यांकन अभी तक नहीं किया गया है। सार्वजनिक रूप से उपलब्ध प्रूफ-ऑफ-कॉन्सेप्ट (PoC) अभी तक नहीं देखा गया है, लेकिन XSS भेद्यता की गंभीरता को देखते हुए, इसका शोषण होने की संभावना है। यह भेद्यता 2025-04-01 को प्रकाशित हुई थी।
Applications built using the Beego Go web framework, particularly those that heavily rely on user-submitted data within forms, are at significant risk. Projects using older versions of Beego (prior to 2.3.6) and lacking robust input validation mechanisms are especially vulnerable. Shared hosting environments where multiple applications share the same Beego installation are also at increased risk.
• go / application: Examine application code for usage of github.com/beego/beego and specifically the RenderForm() function. Look for instances where user input is directly passed to this function without proper sanitization.
• go / application: Use static analysis tools to identify potential XSS vulnerabilities in Go code that utilizes Beego.
• generic web: Monitor web application logs for unusual JavaScript execution patterns or attempts to inject malicious scripts.
• generic web: Implement a WAF rule to block requests containing suspicious JavaScript payloads targeting form fields.
disclosure
एक्सप्लॉइट स्थिति
EPSS
0.34% (56% शतमक)
CISA SSVC
CVSS वेक्टर
CVE-2025-30223 को कम करने के लिए, beego.com/beego को संस्करण 2.3.6 में अपडेट करना आवश्यक है। यदि तत्काल अपडेट संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके इनपुट को सैनिटाइज़ करने पर विचार करें। WAF को XSS हमलों को ब्लॉक करने के लिए कॉन्फ़िगर किया जाना चाहिए। इसके अतिरिक्त, सुनिश्चित करें कि सभी उपयोगकर्ता इनपुट को प्रदर्शित करने से पहले ठीक से एस्केप किया गया है। यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, अपडेट के बाद, RenderForm() फ़ंक्शन के माध्यम से दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने का प्रयास करके सिस्टम का परीक्षण करें।
Beego के संस्करण को 2.3.6 या उससे ऊपर के संस्करण में अपडेट करें। यह संस्करण RenderForm() फ़ंक्शन में XSS भेद्यता को ठीक करता है। सुनिश्चित करें कि आप RenderForm() का उपयोग करने वाले किसी भी कस्टम कोड की समीक्षा और अनुकूलित करें ताकि यह सुनिश्चित हो सके कि यूजर द्वारा प्रदान किए गए डेटा को ठीक से एस्केप किया गया है।
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2025-30223 beego.com/beego में RenderForm() फ़ंक्शन में असुरक्षित उपयोगकर्ता इनपुट के कारण एक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता है।
यदि आप beego.com/beego के संस्करण 2.3.6 से पहले का उपयोग कर रहे हैं, तो आप प्रभावित हैं।
beego.com/beego को संस्करण 2.3.6 में अपडेट करें। यदि अपडेट संभव नहीं है, तो WAF का उपयोग करके इनपुट को सैनिटाइज़ करें।
हालांकि अभी तक कोई सार्वजनिक शोषण नहीं देखा गया है, लेकिन XSS भेद्यता की गंभीरता को देखते हुए, इसका शोषण होने की संभावना है।
आधिकारिक सलाहकार के लिए beego.com/beego की वेबसाइट देखें।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी go.mod फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।