CVE-2024-23648
Təsvir
Pimcore-un Admin Classic Bundle komponenti Pimcore üçün arxa plan istifadəçi interfeysi təmin edir. Şifrənin sıfırlanması funksiyası şifrə dəyişikliyi tələb edən istifadəçiyə şifrəni sıfırlamaq üçün URL ehtiva edən e-poçt göndərir. Göndərilən URL, istifadəçiyə şifrəsini sıfırlamağa imkan verən və 24 saat ərzində etibarlı olan unikal token ehtiva edir. Bu token olduqca həssasdır; çünki onu əldə edə bilən hücumçu istifadəçinin şifrəsini sıfırlaya bilər. Versiya 1.2.3-dən əvvəl, şifrəni sıfırlama URL-i şifrənin sıfırlanmasını tələb etmək üçün göndərilən sorğunun "Host" HTTP başlığına əsasən formalaşdırılır. Beləliklə, kənar bir hücumçu istifadəçilər üçün şifrə sıfırlama sorğuları göndərə, lakin özünün nəzarət etdiyi vebsaytın "Host" başlığını qeyd edə bilərdi. E-poçtu alan istifadəçi linkə kliklədikdə, hücumçu qurbanın sıfırlama tokenini əldə edərək hesabı ələ keçirə bilərdi. Versiya 1.2.3 bu problemi düzəldir.
Necə düzəltmək olar
- pimcore admin_classic_bundle1.2.3 və ya daha yeni versiya
- pimcore/admin-ui-classic-bundle1.2.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pimcore admin_classic_bundle | v < 1.2.3 | 1.2.3 |
| pimcore/admin-ui-classic-bundlePackagist | v < 1.2.3 | 1.2.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.