CVE-2022-37783
Təsvir
3.0.0 ilə 3.7.32 arasındakı bütün Craft CMS versiyaları, E-poçt ünvanı və ya istifadəçi adı ilə autentifikasiya edən istifadəçilərin parol heşlərini Anti-CSRF-Tokenlərdə açıqlayır. Craft CMS saytlararası sorğu saxtalaşdırması (CSRF) hücumlarının qarşısını almaq üçün CRAFT_CSRF_TOKEN adlı kukidən və CRAFT_CSRF_TOKEN adlı HTML gizli sahəsindən istifadə edir. CRAFT_CSRF_TOKEN kukisi parol heşini kodlaşdırmadan açıqlayır, ona uyğun HTML gizli sahəsi isə istifadəçilərin parol heşini maskalanmış şəkildə açıqlayır ki, bu da YII freymvorkunun ictimai funksiyalarından istifadə etməklə deşifrə edilə bilər.
Necə düzəltmək olar
- craftcms/cms3.7.33 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| craftcms craft_cms | 3.0.0 ≤ v ≤ 3.7.32 | — |
| craftcms/cmsPackagist | 3.0.0 ≤ v < 3.7.33 | 3.7.33 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.