CVE-2026-24906
Təsvir
October Məzmunun İdarəetmə Sistemi (CMS) və veb platformasıdır. 3.7.14 və 4.1.10 versiyalarından əvvəlki versiyalarda Backend Editor Settings hissəsində Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğu mövcuddur. Markup Classes sahələri (paraqraf stilləri, sətirdaxili stillər, cədvəl stilləri və s. üçün istifadə olunur) daxil edilən məlumatları etibarlı CSS klas adı simvollarına görə təmizləmir. Zərərli dəyərlər Froala redaktorunun açılan menyularında təmizlənmədən göstərilir ki, bu da hər hansı istifadəçi RichEditor-u açdıqda JavaScript-in icrasına şərait yaradır. Əgər superistifadəçi rutin məzmun redaktəsi zamanı (məsələn, bloq yazısını redaktə edərkən) hər hansı bir RichEditor-u açarsa, bu boşluğun istismarı imtiyazların yüksəldilməsinə səbəb ola bilər; bunun üçün redaktor parametrləri icazələrinə malik autentifikasiya olunmuş backend girişi tələb olunur. Bu problem 3.7.14 və 4.1.10 versiyalarında düzəldilmişdir. Problemi aradan qaldırmaq üçün müvəqqəti həll yolu kimi, redaktor parametrləri icazələrini yalnız tam etibar edilən administratorlarla məhdudlaşdırın.
Necə düzəltmək olar
- october/system4.1.10, 3.7.14 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| octobercms october | v ≤ 3.7.13, 4.0.0 ≤ v ≤ 4.1.9 | — |
| october/systemPackagist | 4.0.0 ≤ v < 4.1.10, v < 3.7.14 | 4.1.10, 3.7.14 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.