CVE-2022-29933
Təsvir
3.7.36 versiyadək Craft CMS, ən azı bir etibarlı istifadəçi adını bilən uzaqdakı autentifikasiya olunmamış hücumçuya, şifrənin sıfırlanması funksiyasından istifadə edərkən tətbiqə xüsusi hazırlanmış HTTP başlığı təqdim etməklə hesabın şifrəsini sıfırlamağa və hesabı ələ keçirməyə imkan verir. Konkret olaraq, hücumçu /index.php?p=admin/actions/users/send-password-reset-email URI ünvanına X-Forwarded-Host göndərməlidir. QEYD: vendorun mövqeyinə görə, müştəri konfiqurasiyanı dəyişdirərək (yəni standart konfiqurasiyadan istifadə etməyərək) bu problemin qarşısını artıq ala bilər.
Necə düzəltmək olar
- craftcms/cms3.7.36 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| craftcms craft_cms | v ≤ 3.7.36 | — |
| craftcms/cmsPackagist | v < 3.7.36 | 3.7.36 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.