CVE-2025-4644
Təsvir
Payload-un SQLite adapterində hesab yaradılması zamanı identifikatorun təkrar istifadəsi səbəbindən Sessiyanın Sabitlənməsi (Session Fixation) zəifliyi aşkar edilmişdir. Bədniyyətli hücumçu yeni hesab yarada, onun JSON Web Token (JWT)-ini yadda saxlaya və sonra hesabı silə bilərdi, lakin bu proses JWT-i etibarsız etmirdi. Nəticədə, növbəti yeni yaradılan istifadəçi eyni identifikatoru alırdı ki, bu da hücumçuya həmin istifadəçi kimi autentifikasiya olmaq və əməliyyatlar yerinə yetirmək üçün JWT-dən təkrar istifadə etməyə imkan verirdi. Bu problem Payload-un 3.44.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- payload3.44.0 və ya daha yeni versiya
- @payloadcms/next3.44.0 və ya daha yeni versiya
- @payloadcms/graphql3.44.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| payloadnpm | v < 3.44.0 | 3.44.0 |
| @payloadcms/nextnpm | v < 3.44.0 | 3.44.0 |
| @payloadcms/graphqlnpm | v < 3.44.0 | 3.44.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.