CVE-2026-27129
Təsvir
Craft məzmun idarəetmə sistemidir (CMS). 4.5.0-RC1-dən 4.16.18-ə və 5.0.0-RC1-dən 5.8.22-yə qədər olan versiyalarda, Craft CMS-in GraphQL Asset mutasiyasındakı SSRF validasiyası yalnız IPv4 ünvanlarını həll edən `gethostbyname()` funksiyasından istifadə edir. Host adının yalnız AAAA (IPv6) qeydləri olduqda, funksiya host adının özünü sətir şəklində qaytarır ki, bu da blok siyahısı müqayisəsinin hər zaman uğursuz olmasına səbəb olur və SSRF mühafizəsini tamamilə yan keçir. Bu, CVE-2025-68437 üçün tətbiq edilmiş təhlükəsizlik düzəlişinin yan keçilməsidir. İstismar üçün `<VolumeName>` həcmində aktivləri redaktə etmək və yaratmaq üçün GraphQL sxem icazələri tələb olunur. Bu icazələr müvafiq GraphQL sxem girişinə malik autentifikasiya olunmuş istifadəçilərə və/yaxud İctimai Sxemə (əgər yanlış konfiqurasiya ilə yazı icazələri verilibsə) verilmiş ola bilər. 4.16.19 və 5.8.23 versiyaları problemi aradan qaldırır.
Necə düzəltmək olar
- craftcms craft_cms4.16.19, 5.8.23 və ya daha yeni versiya
- craftcms/cms5.8.23, 4.16.19 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| craftcms craft_cms | 3.5.0 ≤ v < 4.16.19, 5.0.1 ≤ v < 5.8.23, 5.0.0 | 4.16.19, 5.8.23 |
| craftcms/cmsPackagist | 5.0.0-RC1 ≤ v < 5.8.23, 3.5.0 ≤ v < 4.16.19 | 5.8.23, 4.16.19 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.