CVE-2023-49283

microsoft-graph-core, PHP üçün Microsoft Graph Kitabxanasıdır. Microsoft Graph Beta PHP SDK tərəfindən dərc edilən paketlər, `vendor/microsoft/microsoft-graph-core/tests/GetPhpInfo.php` faylına daxil ola və onu icra edə bilən hər hansı bir tətbiqdən phpInfo() funksiyasının istifadəsini təmin edən test kodu ehtiva edirdi. phpInfo funksiyası sistem məlumatlarını açıqlayır. Zəiflik, PHP SDK-nın phpinfo() funksiyasına çağırış ehtiva edən GetPhpInfo.php skriptinə təsir göstərir. Bu zəifliyin istismar edilməsi üçün serverdə yanlış konfiqurasiyanın olması tələb olunur. Məsələn, PHP tətbiqinin /vendor kataloqunun veb girişinə açıq olması. Zəifliyin və serverin yanlış konfiqurasiyasının birləşməsi hücumçuya phpinfo() metodunu icra edən HTTP sorğusu hazırlamağa imkan verərdi. Beləliklə, hücumçu konfiqurasiya, modullar və mühit dəyişənləri kimi sistem məlumatlarına daxil ola bilər və daha sonra əldə etdiyi gizli məlumatlardan əlavə datalara giriş üçün istifadə edə bilərdi. Bu problem 2.0.2 versiyasında aradan qaldırılıb. Yenilənmiş vendor paketi ilə dərhal tətbiq mümkün deyilsə, aşağıdakı müvəqqəti həll yollarını yerinə yetirə bilərsiniz: `vendor/microsoft/microsoft-graph-core/tests/GetPhpInfo.php` faylını silin, /vendor kataloquna girişi məhdudlaşdırın və ya phpinfo funksiyasını deaktiv edin.