CVE-2026-18737
Təsvir
Shlink proqram təminatı, hər hansı autentifikasiya olunmuş API açarı sahibinə teqlərin statistikası son nöqtəsinin (endpoint) orderBy sorğu parametrində yoxlanılmamış istiqamət dəyəri daxil etməklə ixtiyari SQL fraqmentlərini yerləşdirməyə imkan verən kor SQL inyeksiyası zəifliyinə malikdir. Hücumçular, təmizlənmədən birbaşa Doctrine QueryBuilder ORDER BY bəndinə ötürülən və SQL alt-sorğuları ehtiva edən zərərli istiqamət sətirləri hazırlaya bilərlər ki, bu da istənilən kirayəçidən (tenant) uzun URL-lər, ziyarətçi qeydləri, IP ünvanları, geolokasiya məlumatları, istifadəçi agentləri və həşlənmiş API açarı gizli məlumatları daxil olmaqla həssas məlumatların zaman əsaslı (time-based), boolean-oracle və xəta əsaslı (error-based) çıxarılmasına şərait yaradır.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| shlinkio Shlink | 3.3.1 ≤ v ≤ 5.1.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.