CVE-2026-25497
Təsvir
Craft rəqəmsal təcrübələrin yaradılması üçün nəzərdə tutulmuş platformadır. Craft-ın 4.0.0-RC1-dən 4.17.0-beta.1-ə qədər və 5.9.0-beta.1 versiyalarından əvvəlki versiyalarında, Craft CMS-in GraphQL API-da imtiyazların yüksəldilməsi zəifliyi mövcuddur. Bu zəiflik, bir aktiv həcminə (asset volume) yazı girişinə malik olan autentifikasiya olunmuş istifadəçiyə öz imtiyazlarını yüksəltməyə və digər hər hansı həcmə, o cümlədən giriş hüququ olmayan məhdudlaşdırılmış və ya şəxsi həcmlərə aid aktivləri dəyişdirməyə/köçürməyə imkan verir. saveAsset GraphQL mutasiyası avtorizasiyanı sxem tərəfindən müəyyən edilmiş həcmə görə yoxlayır, lakin hədəf aktivi ID vasitəsilə götürərkən həmin aktivin avtorizasiya olunmuş həcmə aid olub-olmadığını yoxlamır. Bu, səlahiyyətsiz şəkildə həcmlər arası aktiv dəyişikliyini və köçürülməsini mümkün edir. Bu zəiflik 4.17.0-beta.1 və 5.9.0-beta.1 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- craftcms craft_cms4.17.0, 5.9.0 və ya daha yeni versiya
- craftcms/cms5.9.0-beta.1, 4.17.0-beta.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| craftcms craft_cms | 4.0.0 < v < 4.17.0, 5.0.0 < v < 5.9.0, 4.0.0, 5.0.0 | 4.17.0, 5.9.0 |
| craftcms/cmsPackagist | 5.0.0-RC1 ≤ v < 5.9.0-beta.1, 4.0.0-RC1 ≤ v < 4.17.0-beta.1 | 5.9.0-beta.1, 4.17.0-beta.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.