CVE-2018-1999022
Təsvir
PEAR HTML_QuickForm versiya 3.2.14-də HTML_QuickForm-un getSubmitValue metodu, HTML_QuickForm-un validate metodu, HTML_QuickForm_hierselect-in _setOptions metodu, HTML_QuickForm_element-in _findValue metodu və HTML_QuickForm_element-in _prepareValue metodunda eval inyeksiyası (CWE-95) zəifliyi mövcuddur. Bu, məlumatların ifşasına, məlumat bütövlüyünə mümkün təsirə və ixtiyari kodun icrasına səbəb ola bilər. Bu hücum xüsusi hazırlanmış sorğu sətiri vasitəsilə həyata keçirilə bilər, məsələn: http://www.example.com/admin/add_practice_type_id[1]=fubar%27])%20OR%20die(%27OOK!%27);%20//&mode=live. Görünür ki, bu zəiflik 3.2.15 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| html_quickform_project html_quickform | 3.2.14 | — |
| civicrm civicrm | v ≤ 4.6.37, 5.3.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.