CVE-2024-21667
Təsvir
pimcore/customer-data-framework, Pimcore daxilində müştəri məlumatlarının idarə edilməsi üçün nəzərdə tutulmuş Müştəri İdarəetmə Çərçivəsidir (Customer Management Framework). Autentifikasiya olunmuş və ya olunmamış istifadəçi GDPR məlumatlarının çıxarılması funksiyasına daxil ola və qaytarılan məlumatlar üzrə sorğular göndərə bilər ki, bu da müştəri məlumatlarının sızmasına səbəb olur. `/admin/customermanagementframework/gdpr-data/search-data-objects` son nöqtəsinə (endpoint) müraciət zamanı icazələr yoxlanılmadığı üçün, lazımi icazələri olmayan autentifikasiya olunmuş istifadəçi həmin son nöqtəyə daxil ola və orada mövcud olan məlumatları sorğulaya bilir. Autentifikasiya olunmamış istifadəçi müştərilərin şəxsi eyniləşdirmə məlumatlarına (PII) daxil ola bilər. Bu zəiflik 4.0.6 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- pimcore customer_management_framework4.0.6 və ya daha yeni versiya
- pimcore/customer-management-framework-bundle4.0.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pimcore customer_management_framework | v < 4.0.6 | 4.0.6 |
| pimcore/customer-management-framework-bundlePackagist | v < 4.0.6 | 4.0.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.