CVE-2024-55661
Təsvir
Laravel Pulse, Laravel tətbiqləri üçün real vaxt rejimində tətbiqin performansının monitorinqi aləti və idarəetmə panelidir. Laravel Pulse-un 1.3.1 versiyasından əvvəlki versiyalarında, `Laravel\Pulse\Livewire\Concerns\RemembersQueries` trait-indəki public `remember()` metodu vasitəsilə uzaqdan kodun icrasına imkan verə bilən bir boşluq aşkar edilmişdir. Bu metod Livewire komponentləri vasitəsilə əlçatandır və tətbiq daxilində ixtiyari çağırıla bilən funksiyaları (callables) çağırmaq üçün istifadə edilə bilər. Laravel Pulse idarəetmə panelinə giriş imkanı olan autentifikasiya olunmuş istifadəçi, çağırılan obyektin funksiya və ya statik metod olduğu və həmin çağırılanın parametrlərinin olmadığı və ya ciddi parametr tiplərinin təyin edilmədiyi hər hansı funksiyanı və ya statik metodu çağıraraq ixtiyari kodu icra edə bilər. Zəiflik göstərən komponent `Laravel\Pulse\Livewire\Concerns\RemembersQueries` daxilindəki `remember(callable $query, string $key = '')` metodudur və bu zəiflik həmin trait-dən istifadə edən bütün Pulse kart komponentlərinə təsir edir. 1.3.1 versiyasında düzəliş (patch) tətbiq edilmişdir.
Necə düzəltmək olar
- laravel pulse1.3.1 və ya daha yeni versiya
- laravel/pulse1.3.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| laravel pulse | v < 1.3.1 | 1.3.1 |
| laravel/pulsePackagist | v < 1.3.1 | 1.3.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.