CVE-2026-44828
Təsvir
Qexo statik bloqlar üçün açıq mənbəli onlayn redaktordur. 4.0.0 versiyasından 4.2.0 versiyasına qədər Qexo, autentifikasiya, avtorizasiya və ya quraşdırmanın tamamlanma mühafizəsi olmadan init_step_api vasitəsilə /api/init_step/ ünvanını əlçatan edir. İctimai səhifədən əldə edilmiş etibarlı CSRF tokeninə malik olan autentifikasiya olunmamış sorğu göndərənlər ilk ilkin sazlama addımını təqdim edə və INIT parametrlərini sıfırlaya bilər ki, bu da instansın yenidən quraşdırma prosesinə daxil olmasına səbəb olur. Quraşdırma cavabı və /init/ səhifəsi, xidmət etibarnamələri də daxil olmaqla, saxlanılan PROVIDER konfiqurasiyasını front-end məzmununda üzə çıxara bilər. Bu problem 4.2.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Qexo Qexo | >= 4.0.0, < 4.2.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.