CVE-2026-25493
Təsvir
Craft rəqəmsal təcrübələrin yaradılması üçün nəzərdə tutulmuş platformadır. Craft-ın 4.0.0-RC1-dən 4.16.17-yə və 5.0.0-RC1-dən 5.8.21-ə qədər olan versiyalarında saveAsset GraphQL mutasiyası ilkin URL host adını və həll edilmiş IP ünvanını blok siyahısına qarşı yoxlayır, lakin Guzzle standart olaraq HTTP yönləndirmələrini izləyir. Hücumçu bulud metadata son nöqtələrinə və ya hər hansı daxili IP ünvanlarına yönləndirmə təmin etməklə bütün SSRF müdafiələrindən yan keçə bilər. Bu problem 4.16.18 və 5.8.22 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- craftcms craft_cms4.16.18, 5.8.22 və ya daha yeni versiya
- craftcms/cms5.8.22, 4.16.18 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| craftcms craft_cms | 4.0.0 < v < 4.16.18, 5.0.0 < v < 5.8.22, 4.0.0, 5.0.0 | 4.16.18, 5.8.22 |
| craftcms/cmsPackagist | 5.0.0-RC1 ≤ v < 5.8.22, 4.0.0-RC1 ≤ v < 4.16.18 | 5.8.22, 4.16.18 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.