CVE-2026-32263
Təsvir
Craft CMS məzmun idarəetmə sistemidir (CMS). Versiya 5.6.0-dan versiya 5.9.11-ə qədər olan hissədə, src/controllers/EntryTypesController.php faylında, parse_str funksiyasından gələn $settings massivi Component::cleanseConfig() olmadan birbaşa Craft::configure() funksiyasına ötürülür. Bu, orijinal bildirişdəki hücum vektoru ilə eyni şəkildə, "as" və ya "on" prefiksli açarlar vasitəsilə Yii2 davranış/hadisə handlerlərinin inyeksiya edilməsinə imkan verir. Bunun işləməsi üçün Craft idarəetmə panelinin administrator icazələri və allowAdminChanges aktiv olmalıdır. Bu problem 5.9.11 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- craftcms craft_cms5.9.11 və ya daha yeni versiya
- craftcms/cms5.9.11 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| craftcms craft_cms | 5.6.0 ≤ v < 5.9.11 | 5.9.11 |
| craftcms/cmsPackagist | 5.6.0 ≤ v < 5.9.11 | 5.9.11 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.