CVE-2026-47228
Təsvir
Admidio açıq mənbəli istifadəçi idarəetmə həllidir. `modules/registration.php` faylının `send_login` rejimi `user_uuid_assigned` üçün təsadüfi şifrə yaradır, onun bcrypt heşini `adm_users.usr_password` bölməsində saxlayır və şifrənin açıq mətnini həmin istifadəçiyə e-poçt vasitəsilə göndərir. Həmin fayldakı digər bütün vəziyyət dəyişdirici rejimlər (`assign_member`, `assign_user`, `delete_user`, `create_user`) əvvəlcə `SecurityUtils::validateCsrfToken($_POST['adm_csrf_token'])` funksiyasını çağırır; lakin `send_login` budağı bunu etmir. Versiya 5.0.10-dan əvvəl, qeydiyyat administratorunun daxil olduğu səhifədə sorğu üst səviyyəli naviqasiya kimi göndərilə bilər, brauzer administratorun `SameSite=Lax` kukilərini ötürür və server administratorla əlavə qarşılıqlı əlaqə olmadan seçilmiş istifadəçinin şifrəsini sıfırlayır. Versiya 5.0.10 bu problemi aradan qaldırır.
Necə düzəltmək olar
- admidio/admidio5.0.10 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| admidio/admidioPackagist | v < 5.0.10 | 5.0.10 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.