CVE-2024-23646
Təsvir
Pimcore-un Admin Classic Bundle komponenti Pimcore üçün arxa plan istifadəçi interfeysi təmin edir. Tətbiq istifadəçilərə saytdakı mövcud fayllardan zip faylları yaratmağa imkan verir. 1.3.2 versiyasından əvvəlki 1.x budağında `selectedIds` parametri SQL Injection zəifliyinə malikdir. Çox sadə icazələri olan hər hansı bir arxa plan istifadəçisi ixtiyari SQL sorğularını icra edə bilər və beləliklə, hər hansı məlumatı dəyişdirə və ya öz imtiyazlarını ən azı admin səviyyəsinə yüksəldə bilər. 1.3.2 versiyasında bu problem üçün düzəliş tətbiq edilmişdir.
Necə düzəltmək olar
- pimcore admin_classic_bundle1.3.2 və ya daha yeni versiya
- pimcore/admin-ui-classic-bundle1.3.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pimcore admin_classic_bundle | 1.0.0 ≤ v < 1.3.2 | 1.3.2 |
| pimcore/admin-ui-classic-bundlePackagist | 1.0.0 ≤ v < 1.3.2 | 1.3.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.