CVE-2023-34253
Təsvir
Grav flat-fayl əsaslı məzmun idarəetmə sistemidir. 1.7.42 versiyasından əvvəl 9d6a2d commit-ində təqdim edilmiş denylist zərərli şablonların inyeksiyası yolu ilə təhlükəli funksiyaların icrasının qarşısını almaq üçün kifayət etmirdi və bir neçə yolla asanlıqla yan keçilə bilərdi -- (1) qadağan edilməmiş təhlükəli funksiyalardan istifadə, (2) çağırıla bilən adların böyük hərflərlə yazılması və (3) çağırıla bilənlərə istinad üçün tam kvalifikasiyalı adlardan istifadə. Nəticədə, Grav Admin panelinə girişi və səhifə yaratma/yeniləmə icazələri olan aşağı imtiyazlı təcavüzkar uzaqdan kodun icrası əldə etmək üçün zərərli şablonlar inyeksiya edə bilir. 1.7.42 versiyasındakı yamaq denylist-i təkmilləşdirir.
Necə düzəltmək olar
- getgrav grav1.7.42 və ya daha yeni versiya
- getgrav/grav1.7.42 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| getgrav grav | v < 1.7.42 | 1.7.42 |
| getgrav/gravPackagist | v < 1.7.42 | 1.7.42 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.