CVE-2021-39174
Təsvir
Cachet açıq mənbəli status səhifəsi sistemidir. Versiya 2.5.1-dən əvvəl autentifikasiya olunmuş istifadəçilər, imtiyazlarından asılı olmayaraq (İstifadəçi və ya Admin), dotenv faylının hər hansı konfiqurasiya girişinin dəyərini, məsələn, tətbiqin sirrini (`APP_KEY`) və müxtəlif şifrələri (e-poçt, verilənlər bazası və s.) sızdıra bilərlər. Bu problem versiya 2.5.1-də `UpdateConfigCommandHandler` təkmilləşdirilməklə və nəticədə yaranan dotenv konfiqurasiya faylında iç-içə dəyişənlərin istifadəsinin qarşısının alınması ilə həll edilmişdir. Müvəqqəti həll yolu kimi, idarəetmə panelinə yalnız etibarlı mənbə IP ünvanlarının daxil olmasına icazə verin.
Necə düzəltmək olar
- catchethq catchet2.5.1 və ya daha yeni versiya
- cachethq/cachet2.5.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| catchethq catchet | v < 2.5.1 | 2.5.1 |
| cachethq/cachetPackagist | v < 2.5.1 | 2.5.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.