CVE-2026-29069
Təsvir
Craft məzmun idarəetmə sistemidir (CMS). 5.9.0-beta.2 və 4.17.0-beta.2 versiyalarından əvvəl actionSendActivationEmail() son nöqtəsi autentifikasiya olunmamış istifadəçilər üçün əlçatandır və gözləyən istifadəçilər üçün icazə yoxlamasını tələb etmir. Heç bir öncəki girişi olmayan hücumçu, istifadəçi ID-sini bilərək və ya təxmin edərək hər hansı gözləyən istifadəçi hesabı üçün aktivləşdirmə e-poçtlarının göndərilməsini tətikləyə bilər. Əgər hücumçu hədəf istifadəçinin e-poçt ünvanını idarə edirsə, o, hesabı aktivləşdirə və sistemə giriş əldə edə bilər. Bu zəiflik 5.9.0-beta.2 və 4.17.0-beta.2 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- craftcms craft_cms4.17.0, 5.9.0 və ya daha yeni versiya
- craftcms/cms5.9.0-beta.2, 4.17.0-beta.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| craftcms craft_cms | 4.0.0 < v < 4.17.0, 5.0.0 < v < 5.9.0, 4.0.0, 4.17.0, 5.0.0, 5.9.0 | 4.17.0, 5.9.0 |
| craftcms/cmsPackagist | 5.0.0-RC1 ≤ v < 5.9.0-beta.2, 4.0.0-RC1 ≤ v < 4.17.0-beta.2 | 5.9.0-beta.2, 4.17.0-beta.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.