CVE-2024-4350
Təsvir
Concrete CMS-in 9.0.0-dan 9.3.2-yə qədər olan versiyaları və 8.5.18-dən aşağı versiyaları, istifadəçi girişinin saxlanılması və sonradan cavablara daxil edilməsi zamanı RSS Displayer komponentində Stored XSS zəifliyinə malikdir. Giriş məlumatlarının kifayət qədər yoxlanılmaması səbəbindən bədniyyətli administrator sahələrə zərərli kod yerləşdirə bilər. Concrete CMS təhlükəsizlik komandası bu zəifliyə https://www.first.org/cvss/calculator/4.0#CVSS:4.0/AV:N/AC:H/AT:N/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N vektoru ilə 5.1 CVSS v4 balı vermişdir. Hesabat üçün m3dium-a təşəkkürlər. (CNA 17 yanvar 2025-ci il tarixində, CVSS 4.0 sənədlərinə əsasən giriş imtiyazlarının AC üçün nəzərə alınmamalı olduğunu bildirərək AC-ni aşağı salmaqla bu risk dərəcəsini yeniləmişdir)
Necə düzəltmək olar
- concretecms concrete_cms8.5.18, 9.3.3 və ya daha yeni versiya
- concrete5/concrete58.5.18, 9.3.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| concretecms concrete_cms | v < 8.5.18, 9.0.0 ≤ v < 9.3.3 | 8.5.18, 9.3.3 |
| concrete5/concrete5Packagist | v < 8.5.18, 9.0.0RC1 ≤ v < 9.3.3 | 8.5.18, 9.3.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.