CVE-2026-46696

October System, October Content Management System üçün sistem modulunu təmin edir. 3.7.17 və 4.2.21 versiyalarından əvvəlki versiyalarda, `cms.safe_mode` aktiv olduqda zəncirvari yan keçməyə imkan verən Twig sandbox təhlükəsizlik siyasətində boşluq mövcuddur. Laravel sessiya anbarı məhdudiyyətsiz metod girişləri ilə Twig-ə açıq idi və Eloquent-in `__call` yönləndirməsi vasitəsilə əlçatan olan xammal SQL metodları bütün builder zənciri boyunca bloklanmamışdı. Bunlar birləşdirildikdə, CMS markup redaktə etmə hüququna malik backend istifadəçisi xammal SQL ifadələri vasitəsilə verilənlər bazasındakı ixtiyari dəyərləri oxuya və backend autentifikasiya sessiya açarına yazı yazaraq digər mövcud istifadəçi kimi saxta backend sessiyası yarada bilərdi. Təsir dairəsi dardır. Safe Mode niş bir funksiyadır və əsasən demo quraşdırmaları, həmçinin etibarsız istifadəçilərə qəsdən CMS markup redaktoruna giriş verildiyi çoxmüştəri (multi-tenant) və ya ortaq redaktor ssenariləri üçün istifadə olunur. Standart istehsalat mühiti quraşdırmalarında Safe Mode aktiv edilmir, çünki normal October CMS rəhbərliyinə əsasən, markup redaktəsi də daxil olmaqla backend girişi yalnız etibarlı administratorlarla məhdudlaşdırılır və həmin konfiqurasiyada Safe Mode olmadan da markup vasitəsilə birbaşa PHP inyeksiyası mümkündür. Bu problem yalnız aşağıdakı şərtlərin hamısını yerinə yetirən saytlara təsir edir: `cms.safe_mode` aktivdir (demolar və ya etibarsız redaktor ssenariləri üçün qəsdən seçilib); saytda tam administrator kimi etibar edilməsi nəzərdə tutulmayan, lakin CMS markup redaktə hüququ olan ən azı bir backend istifadəçisi var; və saytda aşağı səlahiyyətli istifadəçinin taklid edə biləcəyi ən azı bir mövcud superistifadəçi hesabı var. Boşluq v3.7.17 və v4.2.21 versiyalarında aradan qaldırılıb. Laravel sessiya anbarı artıq yalnız oxuma/yazma metodlarının aşkar alt çoxluğunu təqdim edən və rezerv edilmiş sessiya açarı prefikslərinə (`admin_auth`, `october_auth`, `login_*`, `_token` və digər freymvork daxili elementləri) yazıları rədd edən proksi ilə əhatə olunub. Xammal SQL və alt sorğu metodları (`selectRaw`, `whereRaw`, `orderByRaw`, `joinSub` və əlaqəli olanlar) artıq `Query\Builder`, `Eloquent\Builder` və `Eloquent\Model` üzrə bloklanıb, beləliklə blok siyahısı `__call` yönləndirmə zənciri boyunca ardıcıl olur. `cms.safe_mode` aktiv edən bütün saytlara ən son yamaqlanmış versiyaya yüksəltmə etmək tövsiyə olunur. Alternativ həll yolu mövcuddur: CMS markup redaktə girişini yalnız tam etibarlı administratorlarla məhdudlaşdırın - bu, hər hansı quraşdırma üçün standart October CMS tövsiyəsidir. Qeyd edin ki, `cms.safe_mode`-u deaktiv etmək alternativ həll yolu deyil; Safe Mode bu problemin təsir etdiyi sərhəddir və onun deaktiv edilməsi markup redaktorları ilə server arasındakı yeganə sandbox-u aradan qaldırır.