CVE-2025-58048

Paymenter hostinglər üçün pulsuz və açıq mənbəli veb mağaza həllidir. Versiya 1.2.11-dən əvvəl Paymenter-də bilet qoşmaları funksionallığı zərərli autentifikasiya olunmuş istifadəçiyə ixtiyari faylların yüklənilməsinə imkan verir. Bu, verilənlər bazasından həssas məlumatların çıxarılmasına, konfiqurasiya fayllarından etibarnamələrin oxunmasına və veb server istifadəçisinin kontekstində ixtiyari sistem əmrlərinin icrasına səbəb ola bilər. Bu boşluq 87c3db4 commit-i ilə aradan qaldırılmış və versiya 1.2.10 ilə müqayisədə heç bir digər kod dəyişikliyi olmadan 1.2.11 teqi altında buraxılmışdır. Əgər dərhal yeniləmək mümkün deyilsə, administratorlar bu boşluğu aşağıdakı tədbirlərdən biri və ya bir neçəsi ilə yumşalda bilərlər: qoşmaların icra edilməsi əvəzinə yüklənməsi üçün nginx konfiqurasiyasının yenilənməsi və ya Cloudflare kimi WAF vasitəsilə /storage/ qovluğuna girişin tamamilə qadağan edilməsi.