lukevella rallly रीसेट पासवर्ड reset-password-form.tsx क्रॉस साइट स्क्रिप्टिंग

rally के 4.8.0 से पहले के संस्करणों में एक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता की पहचान की गई है। यह कमजोरी फ़ाइल apps/web/src/app/[locale]/(auth)/reset-password/components/reset-password-form.tsx में 'Reset Password Handler' घटक में मौजूद है। एक हमलावर 'redirectTo' तर्क को हेरफेर करके वेब एप्लिकेशन में दुर्भावनापूर्ण कोड इंजेक्ट कर सकता है। यह कोड अन्य उपयोगकर्ताओं के ब्राउज़रों में निष्पादित हो सकता है, जिससे हमलावर संवेदनशील जानकारी चुरा सकता है, उपयोगकर्ता के रूप में कार्य कर सकता है या वेब पेज के स्वरूप को बदल सकता है। यह भेद्यता विशेष रूप से चिंताजनक है क्योंकि इसका उपयोग दूरस्थ रूप से किया जा सकता है, जिसका अर्थ है कि हमलावर सिस्टम तक भौतिक पहुंच के बिना इसे समझौता कर सकता है। एक्सप्लॉइट का प्रकाशन स्थिति को बढ़ा देता है, जिससे लक्षित हमलों की संभावना बढ़ जाती है।

Organizations and individuals using rallyl versions 4.7.0 through 4.8.0, particularly those relying on the Reset Password functionality, are at risk. Shared hosting environments where rallyl is deployed alongside other applications could also be affected, as a successful exploit could potentially compromise the entire hosting instance.

• javascript / web:

// Check for unusual redirects or script execution in the Reset Password Handler
// Monitor network requests for suspicious URLs

• generic web:

curl -I <rallyl_url>/app/[locale]/(auth)/reset-password/components/reset-password-form.tsx | grep -i 'redirectto'

1. 2026-04-17Disclosure

   disclosure

1. आरक्षित2026-04-17
2. प्रकाशित2026-04-17
3. संशोधित2026-04-20
4. EPSS अद्यतन2026-04-25

इस भेद्यता को कम करने के लिए अनुशंसित समाधान rally को संस्करण 4.8.0 में अपडेट करना है। इस संस्करण में एक फिक्स शामिल है जो 'redirectTo' तर्क के हेरफेर को संबोधित करता है और दुर्भावनापूर्ण कोड इंजेक्शन को रोकता है। अपने एप्लिकेशन और उपयोगकर्ता डेटा की सुरक्षा के लिए इस अपडेट को जल्द से जल्द लागू करना महत्वपूर्ण है। अपडेट के अलावा, उपयोगकर्ता इनपुट सत्यापन और स्वच्छता के संबंध में सुरक्षा सर्वोत्तम प्रथाओं का पालन किया जा रहा है यह सुनिश्चित करने के लिए कोडिंग प्रथाओं की समीक्षा करें। संदिग्ध गतिविधि के लिए एप्लिकेशन लॉग की निगरानी भी संभावित हमलों की पहचान करने और उनका जवाब देने में मदद कर सकती है।