CVE-2026-107856
Təsvir
CiviForm müraciət məlumatlarını çox sayda yardım proqramı arasında təkrar istifadə etməklə dövlət yardım proqramları üçün müraciətləri sadələşdirir. Versiya 3.33.0-dan əvvəl, GET /admin/tiDash/editClientForm/:accountId sorğusu göndərənin Etibarlı Vasitəçi (Trusted Intermediary) olduğunu yoxlayır, lakin showEditClientForm funksiyası vətəndaş hesabının göndərənin trustedIntermediaryGroup qrupuna aid olduğunu təsdiqləmədən birbaşa lookupAccount(accountId) axtarışını yerinə yetirir. Autentifikasiya olunmuş Etibarlı Vasitəçi accountId dəyərlərini sadalayabilir və vasitəçinin qrupu xaricindəki hesablar üçün müraciət edənin görünən adını, o cümlədən vətəndaşın adını və e-poçt ünvanını oxuya bilər. Bu problem versiya 3.33.0-da düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| civiform civiform | < 3.33.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.