CVE-2025-70128
Təsvir
PluXml versiya 5.8.22 və daha əvvəlki versiyalarda PluXml məqalə şərhləri funksiyasında Saxlanılan Saytlararası Skriptinq (Stored XSS) zəifliyi mövcuddur. Tətbiq şərhin "link" sahəsində istifadəçi tərəfindən təmin edilən giriş məlumatlarını düzgün şəkildə təmizləmir və ya yoxlamır. Hücumçu `<script>` elementi vasitəsilə ixtiyari JavaScript kodu yerləşdirə bilər. Yerləşdirilmiş faydalı yük verilənlər bazasında saxlanılır və sonradan administratorlar göndərilmiş şərhləri nəzərdən keçirdikdə İdarəetmə panelinin "Comments" bölməsində render edilir. Vacib məqam odur ki, zərərli skript ictimai şərh interfeysində görünmür, yalnız arxa plan idarəetmə görünüşündə əks olunur. Alternativ olaraq, Administrator, Moderator və Menecer rollarına malik istifadəçilər də mövcud şərhlərə birbaşa hazırlanmış faydalı yükləri daxil edə bilərlər. Bu, zəifliyi inzibati istifadəçiləri hədəf alan davamlı XSS problemi halına gətirir. Bu problem `/core/admin/comments.php` faylına təsir edir, CVE-2022-24585 isə tamamilə fərqli bir zəiflik olan `/core/admin/comment.php` faylına təsir edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pluxml pluxml | v ≤ 5.8.22 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.