CVE-2026-47230
Təsvir
Admidio açıq mənbəli istifadəçi idarəetmə həllidir. Versiya 5.0.10-dan əvvəl, `modules/documents-files.php` faylının `file_rename_save` rejimi qovluqlararası köçürmə xətası ilə (`05-documents-cross-folder-move-idor.md`) eyni kök səbəbə malikdir: 79-89-cu sətirlərdəki yuxarı səviyyə hüquq yoxlaması `folder_uuid` URL parametri üzərində `hasUploadRight()` funksiyasını təsdiqləyir, lakin ad dəyişdirmə əməliyyatı faylı faktiki olaraq saxlayan qovluğu yenidən yoxlamadan ayrı bir URL parametri olan `file_uuid` üzərində icra edilir. `DocumentsService::renameFile()` hədəf faylı `getFileForDownload()` vasitəsilə müəyyən edir (hansı ki, oxuna bilən fayllara icazə verir), lakin faylın yerləşdiyi mənbə qovluğunda yükləmə hüququnu tələb etmir. Nəticə: hər hansı A qovluğunda yükləmə hüququ olan istifadəçi, baxış icazəsi olduğu müddətcə B qovluğundakı faylın adını dəyişdirə bilər. Onlar həmçinin faylın təsvirini də yeniləyə bilərlər. Versiya 5.0.10-da bu problem aradan qaldırılıb.
Necə düzəltmək olar
- admidio/admidio5.0.10 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| admidio/admidioPackagist | v < 5.0.10 | 5.0.10 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.