CVE-2026-25125
Təsvir
October Məzmunun İdarəetmə Sistemi (CMS) və veb platformadır. 3.7.14 və 4.1.10 versiyalarından əvvəlki versiyalarda INI parametrlərinin təhlilçisində (parser) server tərəfli məlumat sızması zəifliyi mövcuddur. PHP-nin parse_ini_string() funksiyası mühit dəyişənlərinin interpolyasiyası üçün ${} sintaksisini dəstəklədiyi üçün, Redaktor (Editor) girişinə malik hücumçular CMS səhifə parametrleri sahələrinə ${APP_KEY} və ya ${DB_PASSWORD} kimi şablonlar yerləşdirə bilərdirlər. Bu, həssas mühit dəyişənlərinin müəyyən edilməsinə, şablonda saxlanılmasına və səhifə yenidən açıldıqda hücumçuya qaytarılmasına səbəb olurdu. Bu, etibarnamələrin və gizli məlumatların (verilənlər bazası şifrələri, AWS açarları, tətbiq açarları) sızdırılmasına şərait yarada bilərdi ki, bu da verilənlər bazasına giriş və ya kukilərin saxtalaşdırılması kimi növbəti hücumlara yol aça bilərdi. Zəiflik yalnız cms.safe_mode aktiv olduqda aktualdır, çünki əks halda birbaşa PHP inyeksiyası onsuz da mümkündür. Bu problem 3.7.14 və 4.1.10 versiyalarında aradan qaldırılmışdır. İstifadəçilər dərhal yeniləmə edə bilmirlərsə, Redaktor alətinə girişi yalnız tam etibar edilən administratorlarla məhdudlaşdıraraq və verilənlər bazası ilə bulud xidmətlərinin etibarnamələrinin veb serverin şəbəkəsindən əlçatan olmadığını təmin edərək bu problemi müvəqqəti həll edə bilərlər.
Necə düzəltmək olar
- octobercms october3.7.14, 4.1.10 və ya daha yeni versiya
- october/rain4.1.10, 3.7.14 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| octobercms october | v < 3.7.14, 4.0.0 ≤ v < 4.1.10 | 3.7.14, 4.1.10 |
| october/rainPackagist | 4.0.0 ≤ v < 4.1.10, v < 3.7.14 | 4.1.10, 3.7.14 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.