CVE-2021-22966
Təsvir
Concrete CMS versiya 8.5.6 və daha aşağı versiyalarda Qruplardan istifadə etməklə Redaktorla Admin arasında imtiyazların yüksəldilməsi mümkündür. Əgər bir qrupa bulkupdate səhifəsində "view" icazələri verilibsə, həmin qrupdakı istifadəçilər xüsusi hazırlanmış curl vasitəsilə administrator səlahiyyətləri əldə edə bilərlər. Problem, qrupun köçürülməsinə icazə verməzdən əvvəl qrup icazələrinin yoxlanılması mexanizminin əlavə edilməsi ilə aradan qaldırılmışdır. Concrete CMS təhlükəsizlik komandasının CVSS balı: 7.1 AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H Kəşf üçün kredit: "FORTBRIDGE-dən Adrian Tiron ( https://www.fortbridge.co.uk/ )". Bu düzəliş həmçinin Concrete versiya 9.0.0-da da mövcuddur.
Necə düzəltmək olar
- concretecms concrete_cms8.5.7 və ya daha yeni versiya
- concrete5/core8.5.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| concretecms concrete_cms | v < 8.5.7 | 8.5.7 |
| concrete5/corePackagist | v < 8.5.7 | 8.5.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.