CVE-2026-29840
Təsvir
JiZhiCMS v2.5.6 və daha əvvəlki versiyalarda app/home/c/UserController.php faylındakı release funksiyasında Saxlanılan Saytlararası Skriptinq (Stored XSS) zəifliyi mövcuddur. Tətbiq <script> teqlərini filtrləyərək giriş məlumatlarını təmizləməyə çalışır, lakin digər HTML teqlərindəki təhlükəli hadisə idarəedicilərini (məsələn, <img> teqlərindəki onerror) rekursiv şəkildə silməkdə uğursuz olur. Bu, autentifikasiya olunmuş uzaq hücumçuya /user/release.html ünvanına göndərilən POST sorğusundakı body parametri vasitəsilə ixtiyari veb skripti və ya HTML-i yerləşdirməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| jizhicms jizhicms | v ≤ 2.5.6 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.