CVE-2026-28695
Təsvir
Craft məzmun idarəetmə sistemidir (CMS). Craft CMS 5.8.21 versiyasında, Symfony Process gadget zənciri ilə birlikdə create() Twig funksiyasından istifadə edərək Server-Side Template Injection vasitəsilə autentifikasiya olunmuş administrator tərəfindən uzaqdan kodun icrası (RCE) mümkündür. create() Twig funksiyası Craft::createObject() metodunu açır ki, bu da konstruktor arqumentləri ilə ixtiyari PHP siniflərinin instansiya edilməsinə imkan verir. Paketdə olan symfony/process asılılığı ilə birlikdə bu, RCE-ni aktivləşdirir. Bu, CVE-2025-57811 üçün tətbiq edilmiş düzəlişi (5.8.7 versiyasında aradan qaldırılmışdı) yan keçir. Bu boşluq 5.9.0-beta.1 və 4.17.0-beta.1 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- craftcms craft_cms4.17.0, 5.9.0 və ya daha yeni versiya
- craftcms/cms5.9.0-beta.1, 4.17.0-beta.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| craftcms craft_cms | 4.0.0 < v < 4.17.0, 5.0.0 < v < 5.9.0, 4.0.0, 5.0.0 | 4.17.0, 5.9.0 |
| craftcms/cmsPackagist | 5.8.7 ≤ v < 5.9.0-beta.1, 4.0.0-RC1 ≤ v < 4.17.0-beta.1 | 5.9.0-beta.1, 4.17.0-beta.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.