CVE-2026-41659
Təsvir
Admidio açıq mənbəli istifadəçi idarəetmə həllidir. Versiya 5.0.9-dan əvvəl, üzv təyin etmə DataTables son nöqtəsi (members_assignment_data.php), sahələrin görünürlük parametrlərindən asılı olmayaraq, gizli profil sahələrini (BIRTHDAY, STREET, CITY, POSTCODE, COUNTRY) öz SQL axtarış şərtinə daxil edir. JSON çıxışı isVisible() yoxlamaları vasitəsilə gizli sütunları düzgün şəkildə sıxışdırsa da, server tərəfli axtarış hər hansı görünürlük filtrləməsindən əvvəl SQL səviyyəsində həyata keçirilir. Bu, yalnız təyin etmə icazələri olan rol liderinə konkret dəyərlər üçün axtarış nəticələrində hansı istifadəçilərin göründüyünü müşahidə etməklə gizli PII (şəxsi müəyyənləşdirici məlumat) dəyərlərini təxmin etməyə imkan verir. Bu problem versiya 5.0.9-da aradan qaldırılmışdır.
Necə düzəltmək olar
- admidio/admidio5.0.9 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| admidio/admidioPackagist | v < 5.0.9 | 5.0.9 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.