CVE-2023-46730
Təsvir
Group-Office müəssisələr üçün nəzərdə tutulmuş CRM və qrup işi alətidir. Təsirə məruz qalan versiyalarda /api/upload.php son nöqtəsində tam Server-Side Request Forgery (SSRF) zəifliyi mövcuddur. /api/upload.php son nöqtəsi URL-ləri filtrləmir, bu da bədniyyətli istifadəçiyə serverin etibarsız domenlərə resurs sorğuları göndərməsinə şərait yaradır. Qeyd edək ki, server diskinə daxil olmaq üçün file:// kimi protokollardan da istifadə edilə bilər. Sorğu nəticəsi (uğurlu olduqda) daha sonra /api/download.php vasitəsilə əldə edilə bilər. Bu problem 6.8.15, 6.7.54 və 6.6.177 versiyalarında aradan qaldırılmışdır. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Bu zəiflik üçün məlum olan heç bir alternativ həll yolu yoxdur.
Necə düzəltmək olar
- group-office group_office6.6.177, 6.7.54, 6.8.15 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| group-office group_office | 6.3.1 ≤ v < 6.6.177, 6.7.0 ≤ v < 6.7.54, 6.8.0 ≤ v < 6.8.15 | 6.6.177, 6.7.54, 6.8.15 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.