CVE-2025-34292
Təsvir
BeWelcome proqram təminatını işlədən Rox, etibarsız məlumatların deserializasiyası nəticəsində yaranan PHP obyekt inyeksiyası zəifliyinə malikdir. İstifadəçi tərəfindən idarə olunan giriş məlumatları PHP-nin unserialize() funksiyasına ötürülür: \RoxPostHandler::getCallbackAction daxilindəki `formkit_memory_recovery` POST parametri və \RoxModelBase::getMemoryCookie (bwRemember) tərəfindən oxunan 'memory cookie'. (1) Mövcud olduqda, `formkit_memory_recovery` emal edilir və unserialize() funksiyasına ötürülür və (2) yaddaşdan bərpa funksionallığı bwRemember cookie dəyəri üzərində unserialize() funksiyasını çağırır. Rox və paketlənmiş kitabxanalarda mövcud olan gadget chain-lər, ixtiyari faylların yazılması və ya uzaqdan kodun icrasına nail olmaq üçün obyekt inyeksiyasının istismar edilməsinə imkan verir. Uğurlu istismar saytın tamamilə ələ keçirilməsinə səbəb ola bilər. Bu zəiflik c60bf04 (2025-06-16) commit-i ilə aradan qaldırılmışdır.
Necə düzəltmək olar
- BeWelcome Roxc60bf04c2464c4bfb6cfed6372a2890ca2d0c585 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| BeWelcome Rox | v < c60bf04c2464c4bfb6cfed6372a2890ca2d0c585 | c60bf04c2464c4bfb6cfed6372a2890ca2d0c585 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.