CVE-2025-50881
Təsvir
Use It Flow administrasiya veb-saytında 10.0.0 versiyasından əvvəl `flow/admin/moniteur.php` skripti uzaqdan kodun icrası zəifliyinə malikdir. GET sorğularını emal edərkən skript `action` URL parametrindən istifadəçi tərəfindən verilən girişi götürür, kifayətsiz yoxlama aparır və bu girişi sonradan `eval()` funksiyası tərəfindən icra olunan sətirə daxil edir. `method_exists()` yoxlaması aparılsa da, o, istifadəçi girişinin yalnız ilk mötərizədən `(` *əvvəlki* hissəsini yoxlayır və bu, hücumçuya etibarlı metod çağırışı strukturundan sonra ixtiyari PHP kodunu əlavə etməyə imkan verir. Uğurlu istismar autentifikasiyadan keçməmiş və ya asanlıqla autentifikasiya olunmuş hücumçuya veb-server prosesinin imtiyazları ilə serverdə ixtiyari PHP kodunu icra etməyə imkan verir.
Necə düzəltmək olar
- Use It Flow administration website10.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Use It Flow administration website | Aralıq göstərilməyib | 10.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.