CVE-2026-27178
Təsvir
MajorDoMo (həmçinin Major Domestic Module kimi tanınır) shoutbox-a metod parametrinin inyeksiyası vasitəsilə saxlanılan saytlararası skriptinq (XSS) boşluğu ehtiva edir. /objects/?method= son nöqtəsi autentifikasiya olunmamış şəkildə hücumçu tərəfindən idarə olunan parametrlərlə saxlanılan metodların icrasına imkan verir. ThisComputer.VolumeLevelChanged kimi standart metodlar istifadəçi tərəfindən təmin edilən VALUE parametrini birbaşa say() funksiyasına ötürür və bu funksiya mesajı escape etmədən olduğu kimi shouts verilənlər bazası cədvəlində saxlayır. Shoutbox vidceti həm PHP render kodu, həm də HTML şablonlarında saxlanılan mesajları sanitarizasiya etmədən göstərir. Dashboard vidceti hər 3 saniyədən bir avtomatik yeniləndiyi üçün, hər hansı bir administrator dashboard-u yüklədikdə inyeksiya edilmiş skript avtomatik icra olunur və bu da kuki fayllarının sızdırılması yolu ilə sessiyanın ələ keçirilməsinə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mjdm majordomo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.