CVE-2022-31092
Təsvir
Pimcore Açıq Mənbəli Məlumat və Təcrübə İdarəetmə Platformasıdır. Pimcore tərtibatçılara məlumatların sorğulanmasını asanlaşdırmaq üçün siyahı sinifləri (listing classes) təklif edir. Bu siyahı sinifləri həmçinin nəticələrin standart olaraq dırnağa alınmalı olan bir və ya daha çox sütuna əsasən sıralanmasına və ya qruplaşdırılmasına imkan verir. Əsl problem ondan ibarətdir ki, hər iki halda dırnaqlama düzgün şəkildə yerinə yetirilmir, buna görə də tərtibatçı bu metodlardan giriş məlumatları ilə istifadə etdikdə və öncədən lazımi giriş yoxlamasını aparmadıqda, yalnız siyahı sinifləri tərəfindən həyata keçirilən avtomatik dırnaqlamaya güvəndikdə, fərdiləşdirilmiş SQL inyeksiyası etmək nəzəri imkanı mövcuddur. Bu problem 10.4.4 versiyasında həll edilmişdir. İstifadəçilərə yeniləmə etmək və ya yamanı (patch) əllə tətbiq etmək tövsiyə olunur. Bu problem üçün məlum alternativ həll yolları yoxdur.
Necə düzəltmək olar
- pimcore pimcore10.4.4 və ya daha yeni versiya
- pimcore/pimcore10.4.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pimcore pimcore | v < 10.4.4 | 10.4.4 |
| pimcore/pimcorePackagist | v < 10.4.4 | 10.4.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.