CVE-2021-24626
Təsvir
Chameleon CSS WordPress plagini 1.2 versiyasına qədər olan versiyalarda bütün AJAX çağırışlarında heç bir CSRF və səlahiyyət yoxlamaları mövcud deyil, bu isə abunəçi kimi hər hansı autentifikasiya olunmuş istifadəçiyə həmin çağırışları etməyə və icazəsiz əməliyyatlar yerinə yetirməyə imkan verir. AJAX çağırışlarından biri olan remove_css, həmçinin css_id POST parametrini SQL ifadəsində istifadə etməzdən əvvəl təmizləmir və ya ekranlaşdırmır, bu da SQL Injection-a gətirib çıxarır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| chameleon_css_project chameleon_css | v ≤ 1.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.