CVE-2013-10035
Təsvir
ProcessMaker Open Source versiya 2.x-də standart 'neoclassic' skinindən istifadə edildikdə kod inyeksiyası zəifliyi mövcuddur. Autentifikasiya olunmuş istifadəçi, action və params kimi parametrlərə xüsusi hazırlanmış POST sorğuları göndərməklə, o cümlədən appFolderAjax.php, casesStartPage_Ajax.php və cases_SchedulerGetPlugins.php daxil olmaqla çox sayda son nöqtə vasitəsilə ixtiyari PHP kodunu icra edə bilər. Bu son nöqtələr istifadəçi girişini yoxlamır və istifadəçi tərəfindən təmin edilən parametrlərlə birbaşa system() kimi PHP funksiyalarını çağıraraq uzaqdan kodun icrasına şərait yaradır. Zəiflik həm Linux, həm də Windows quraşdırmalarına təsir edir və 2.0.23-dən 2.5.1-ə qədər olan versiyaların standart konfiqurasiyalarında mövcuddur. Zəifliyi olan skin veb interfeys vasitəsilə silinə bilmir və istismarı üçün yalnız etibarlı istifadəçi məlumatları tələb olunur.
Necə düzəltmək olar
- ProcessMaker, Inc. ProcessMaker Open Source2.5.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ProcessMaker, Inc. ProcessMaker Open Source | 2.0 ≤ v < 2.5.2 | 2.5.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.