CVE-2017-6086
Təsvir
ViMbAdmin 3.0.15 versiyasındakı addAction və purgeAction funksiyalarında çoxsaylı saytlararası sorğu saxtakarlığı (CSRF) boşluqları uzaqdakı hücumçulara daxil olmuş administratorların autentifikasiyasını ələ keçirərək aşağıdakıları etməyə imkan verir: (1) <vimbadmin directory>/application/controllers/DomainController.php ünvanına hazırlanmış POST sorğusu vasitəsilə administrator istifadəçisi əlavə etmək, (2) <vimbadmin directory>/application/controllers/DomainController.php ünvanına hazırlanmış GET sorğusu vasitəsilə administrator istifadəçisini silmək, (3) <vimbadmin directory>/application/controllers/DomainController.php ünvanına hazırlanmış POST sorğusu vasitəsilə administrator parolunu dəyişmək, (4) <vimbadmin directory>/application/controllers/MailboxController.php ünvanına hazırlanmış POST sorğusu vasitəsilə poçt qutusu əlavə etmək, (5) <vimbadmin directory>/application/controllers/MailboxController.php ünvanına hazırlanmış POST sorğusu vasitəsilə poçt qutusunu silmək, (6) <vimbadmin directory>/application/controllers/ArchiveController.php ünvanına hazırlanmış GET sorğusu vasitəsilə poçt qutusu ünvanını arxivləşdirmək, (7) <vimbadmin directory>/application/controllers/AliasController.php ünvanına hazırlanmış POST sorğusu vasitəsilə alias ünvanı əlavə etmək və ya (8) <vimbadmin directory>/application/controllers/AliasController.php ünvanına hazırlanmış GET sorğusu vasitəsilə alias ünvanını silmək.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vimbadmin vimbadmin | 3.0.15 | — |
| opensolutions/vimbadminPackagist | v ≤ 3.0.15 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.