CVE-2026-107845
Təsvir
Contao açıq mənbəli bir CMS-dir. Versiya 4.0.0-dan etibarən 5.3.50 və 5.7.12 versiyalarına qədər, autentifikasiya olunmamış ziyarətçi elə bir şərh göndərə bilər ki, həmin şərhin e-poçt və ya vebsayt metadata-sı comments-bundle/contao/dca/tl_comments.php faylındakı listComments() tərəfindən kifayət qədər atribut və URL kodlaşdırılması olmadan render edilir. Backend istifadəçisi Comments modulunu açdıqda, hücumçu tərəfindən idarə olunan skript həmin istifadəçinin sessiyası altında Contao backend mənşəyində icra oluna bilər. Çap edilməmiş şərhlər moderatorlar üçün görünür qaldığı üçün moderasiya bu təsvirə mane olmur. Bu problem 5.3.50 və 5.7.12 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- contao/comments-bundle5.3.50, 5.7.12 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| contao/comments-bundlePackagist | 4.0.0 ≤ v < 5.3.50, 5.4.0-RC1 ≤ v < 5.7.12 | 5.3.50, 5.7.12 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.