CVE-2026-114407
Təsvir
2.3.13 versiyasından əvvəlki e107 CMS, autentifikasiya olunmamış hücumçulara search.php faylındakı author GET parametrini manipulyasiya etməklə zərərli HTML kodlarının yerləşdirilməsinə imkan verən refleksiya tipli saytlararası skriptinq (XSS) boşluğu ehtiva edir. Bu parametr parse_str() ilə təhlil edilir və form idarəedicisinin 'other' seçimi açarı vasitəsilə render edilmiş giriş teqinə təmizlənmədən birləşdirilir. Hücumçular, HTML giriş teqindən çıxmaq və onerror idarəedicisi olan img elementini yerləşdirmək üçün xüsusi hazırlanmış author parametri olan tək bir GET sorğusu yaradaraq, qurbanın brauzer sessiyasında ixtiyari JavaScript kodlarını icra edə bilərlər.
Necə düzəltmək olar
- e107inc e1072.3.13 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| e107inc e107 | 2.2.0 ≤ v < 2.3.13 | 2.3.13 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.