CVE-2026-43938
Təsvir
YetAnotherForum.NET (YAF.NET) C# ASP.NET forumudur. 4.0.5 və 3.2.12 versiyalarından əvvəl tətbiqin məlumat bazası loqqeri (YAFNET.Core/Logger/DbLogger.cs), hər hansı bir hadisə (məsələn, idarə olunmayan istisna) qeydə alındıqda daxil olan sorğunun User-Agent başlığını JObject-ə götürür, onu JsonConvert ilə seriyallaşdırır və nəticəni EventLog.Description sütununda saxlayır. Admin hadisələrin loqu səhifəsi (YetAnotherForum.NET/Pages/Admin/EventLog.cshtml.cs) daha sonra həmin JSON-u FormatStackTrace() funksiyasında deseriyallaşdırır və UserAgent dəyərini heç bir kodlaşdırma olmadan birbaşa HTML sətirinə yerləşdirir, Razor görünüşü EventLog.cshtml isə nəticəni @Html.Raw vasitəsilə çıxarır. Bu zəiflik 4.0.5 və 3.2.12 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- YAFNET.Core4.0.5, 3.2.12 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| YAFNET.CoreNuGet | 4.0.0-beta01 ≤ v < 4.0.5, v < 3.2.12 | 4.0.5, 3.2.12 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.