CVE-2026-44377
Təsvir
CubeCart elektron ticarət proqram təminatı həllidir. Versiya 6.7.0-dan əvvəl CubeCart-ın bir çox modullarında (o cümlədən Email Templates və Documents) autentifikasiya olunmuş Server-Side Template Injection (SSTI) zəifliyi mövcuddur. Tətbiq istifadəçi tərəfindən təqdim edilən giriş məlumatlarını Smarty şablon mühərriki vasitəsilə təhlükəsiz olmayan şəkildə qiymətləndirir. Bundan istifadə edərək, inzibati imtiyazlara malik autentifikasiya olunmuş hücumçu mövcud məhdudiyyətləri yan keçə və şablonlar daxilində yerli PHP funksiyalarını çağıra bilər; məsələn, həssas konfiqurasiya fayllarını oxumaq üçün readgzfile() və ya zərərli PHP web shell yazmaq üçün error_log() funksiyalarından istifadə edərək nəticədə Məlumat Sızması (Information Disclosure) və tam uzaqdan kodun icrasına (RCE) nail ola bilər. Bu zəiflik 6.7.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cubecart v6 | < 6.7.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.