CVE-2026-11860
Təsvir
Quick.CMS istifadəçi tərəfindən idarə olunan məlumatları bütövlüyü və həqiqiliyi təmin etmədən açıq mətnli HTTP üzərindən qəbul edərək deserializasiya edir. Bu, hücumçulara ötürmə zamanı seriyalaşdırılmış yükləri dəyişdirməyə və zərərli obyektlər yeritməyə imkan verir. Deserializasiya düzgün validasiya və ya sinif məhdudiyyətləri olmadan həyata keçirildiyi üçün hazırlanmış yüklər təhlükəli magic metodları (məs., __wakeup() və __destruct()) işə sala və gadget zəncirlərindən istifadə edərək ixtiyari kodun icrasına səbəb ola bilər. İstismar administrator admin panelinə daxil olduqda avtomatik tetiklənir. Uğurla istismar edildikdə, bu zəiflik hücumçulara qorunmayan kanal üzərindən ötürülən manipulyasiya edilmiş seriyalaşdırılmış məlumatlar vasitəsilə serverdə ixtiyari kod icra etməyə imkan verir. Bu problem 14.05.2026 tarixində dərc edilmiş 6.8 versiyası üçün yamaqda rabitəni HTTPS ilə məhdudlaşdırmaqla azaldılıb, bu yamaq olmadan yerləşdirmələr zəif olaraq qalır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| OpenSolution Quick.CMS | v ≤ 6.8 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.