CVE-2024-25625

Pimcore-un Admin Classic Bundle-u Pimcore üçün Backend UI təqdim edir. `pimcore/admin-ui-classic-bundle` paketində 1.3.4 versiyasından əvvəl potensial təhlükəsizlik zəifliyi aşkar edilmişdir. Zəiflik UserController-in `invitationLinkAction` funksiyasında, xüsusən də `$loginUrl` dəyişəninin istifadəçi girişinə etibar etməsi ilə əlaqədar Host Başlığı İnyeksiyasını əhatə edir. Daxil olan HTTP sorğularından host başlığı URL-lər yaradılarkən təhlükəsiz olmayan şəkildə istifadə olunur. Hücumçu /admin/user/invitationlink endpoint-inə göndərilən sorğularda HTTP host başlığını manipulyasiya edə bilər və nəticədə hücumçunun domeni ilə URL-lər yaradılır. Əslində, POST sorğusuna host başlığı inyeksiya edilərsə, $loginURL parametri bu yoxlanılmamış host başlığı ilə qurulur. Sonra o, göstərilən istifadəçiyə dəvət e-poçtu göndərmək üçün istifadə olunur. Bu zəiflik dəvət linkləri e-poçtlarındakı URL-lərin hücumçunun nəzarət etdiyi domenə yönəlməsinə səbəb olmaqla fişinq hücumları həyata keçirmək üçün istifadə edilə bilər. 1.3.4 versiyası zəiflik üçün yamaq ehtiva edir. Baxıcılar host başlığının yoxlanılmasını və onun tətbiqin domeninə uyğun olduğundan əmin olunmasını tövsiyə edirlər. Həmçinin, daxil olan host başlığı tanınmadıqda və ya mövcud olmadıqda standart etibarlı host və ya hostname istifadə etmək faydalı olardı.