CVE-2026-109308
Təsvir
4.18.7 versiyasından əvvəlki Craft CMS 4.0.0 və 5.10.14 versiyasından əvvəlki 5.0.0 versiyalarında AppController::actionCacheUpdates daxilindəki xam 'updates' sorğu parametri Component::cleanseConfig() olmadan UpdatesModel-ə ötürülür ki, bu da davranış (behavior) və hadisə idarəedicisi (event-handler) inyeksiyasına şərait yaradır. performUpdates icazəsinə və ya Updates-utility girişinə malik autentifikasiya olunmuş idarəetmə paneli istifadəçiləri, ixtiyari kodu icra etmək üçün AttributeTypecastBehavior qadcet kimi 'as' və ya 'on' açarlarını təmin edə bilərlər.
Necə düzəltmək olar
- craftcms cms4.18.7, 5.10.14 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| craftcms cms | 4.0.0 ≤ v < 4.18.7, 5.0.0 ≤ v < 5.10.14 | 4.18.7, 5.10.14 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.