CVE-2026-109432
Təsvir
Camunda 7.24.0 (7.24.14 versiyasından əvvəlki) və 7.23.0 (7.23.17 versiyasından əvvəlki) versiyalarında ifadə inyeksiyası zəifliyi mövcuddur; burada AdhocQueryValidator.validate() funksiyası TaskQueryDto tərəfindən təqdim olunan orQueries sahəsi daxilində alt sorğu ifadə xəritələrini yoxlamağa nail olmur və bu, autentifikasiya olunmuş istifadəçilərə enableExpressionsInAdhocQueries məhdudiyyətindən yan keçməyə imkan verir. Hücumçular müraciət etdikləri orQueries elementinin daxilinə dueAfterExpression kimi zərərli JUEL ifadəsi yerləşdirərək ixtiyari Java refleksiyasını həyata keçirə və java.lang.Runtime.exec metodunu çağıra bilərlər ki, bu da mühərrik servis istifadəçisi səviyyəsində əməliyyat sistemi əmrlərinin icrasına gətirib çıxarır.
Necə düzəltmək olar
- Camunda Camunda 77.24.14, 7.23.17 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Camunda Camunda 7 | 7.24.0 ≤ v < 7.24.14, 7.23.0 ≤ v < 7.23.17 | 7.24.14, 7.23.17 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.