CVE-2026-49400

October System, October Content Management System üçün sistem modulunu təmin edir. Versiya 3.7.17 və 4.2.21-dən əvvəlki versiyalarda, backend `SessionMaker` trait-i vidjet sessiya vəziyyətini `base64(serialize(...))` şəklində saxlayır və onu `allowed_classes` məhdudiyyəti olmadan `unserialize()` ilə istifadə edirdi. Hücumçunun idarə etdiyi baytlarla `widget.*` sessiya açarına yazıla bilən hər hansı kod yolu, vidjet öz sessiya vəziyyətini növbəti dəfə oxuduqda PHP obyekt inyeksiyasını tetikləyə bilərdi ki, bu da ixtiyari siniflərin instansiyalaşdırılmasına və əlçatan PHP gadget zəncirlərinə imkan verirdi. Bu problem yalnız `cms.safe_mode` aktiv edilmiş quraşdırmalara təsir edir. Safe Mode, əsasən demo quraşdırmaları və etibarsız istifadəçilərə CMS markup redaktoruna qəsdən giriş hüququnun verildiyi çoxmüştəri (multi-tenant) və ya ortaq redaktor ssenariləri üçün istifadə olunan niş bir seçim funksiyasıdır. Standart istehsalat mühiti yerləşdirmələrində Safe Mode söndürülmüşdür, backend girişi yalnız etibarlı administratorlarla məhdudlaşdırılmışdır və markup redaktoru artıq birbaşa ixtiyari PHP kodlarını icra edə bilir. Bu boşluğa nail olan sessiya yazma yolu Safe Mode qumcuvası (sandbox) tərəfindən qorunduğundan, Safe Mode aktiv olmayan quraşdırmalar risk altında deyil. Safe Mode aktiv olsa belə, təsir dairəsi dardır. Vidjet sessiya vəziyyətini dolduran standart backend kod yolları (axtarış terminləri, sıralama seçimləri, seçilmiş ID-lər, filtir dəyərləri) seriyallaşdırmadan əvvəl girişi məlum massiv formasına salır, buna görə də istifadəçi tərəfindən təqdim edilən dəyərlər heç vaxt `unserialize()` funksiyasına idarə oluna bilən seriyallaşdırılmış yük kimi çatmır. Eksploytasiya üçün Safe Mode sessiya yazma yolu ilə birlikdə quraşdırılmış asılılıqlar dəstindən əlçatan uyğun PHP gadget zənciri tələb olunur. Aşağıdakı gücləndirmə əsas obyekt-inyeksiya mənbəyini aradan qaldırır, beləliklə, problemin bu növü tamamilə bağlanmış olur. Zəiflik v3.7.17 və v4.2.21 versiyalarında düzəldilib. İki dəyişiklik tətbiq edilmişdir. `Backend\Traits\SessionMaker` artıq vidjet sessiya vəziyyətini `base64(serialize(...))` əvəzinə sadə JSON formatında saxlayır və yeni yazmalar üçün obyekt-inyeksiya mənbəyini tamamilə aradan qaldırır. Oxuma prosesi mövcud sessiyaların yadda saxlanılan vidjet vəziyyətini qoruması üçün bir yeniləmə dövrü boyunca şəffaf şəkildə köhnə formata geri dönür. Köhnə `unserialize()` geri dönüş yolu indi `allowed_classes => false` parametrini təyin edir, beləliklə, yeniləmədən əvvəl yazılmış dəyərlər belə obyektləri instansiyalaşdıra bilmir. Alternativ həll yolu kimi, hər hansı yerləşdirmə üçün standart October CMS tövsiyəsinə uyğun olaraq, CMS markup redaktə girişini yalnız tam etibarlı administratorlarla məhdudlaşdırın.