CVE-2026-53769
Təsvir
Avo, Ruby on Rails tətbiqləri üçün admin panelləri yaratmaq məqsədində istifadə olunan bir freymvorkdur. Versiya 2.28.0-dan versiya 3.32.0-a qədər olan dövrdə, Avo-nun birbaşa qoşma yükləmə son nöqtəsində (endpoint) server tərəfli yükləmə avtorizasiyası çatışmır və `upload_{FIELD_ID}?` kimi sənədləşdirilmiş sahə səviyyəli yükləmə siyasəti metodları yan keçilir. Avo qoşma yükləmə son nöqtəsinə daxil ola bilən autentifikasiya olunmuş Avo istifadəçisi, həm `update?`, həm də `upload_<field>?` siyasətləri əməliyyatı rədd etdiyi halda belə, müəyyən edilmiş qeyddə binar məzmun, fayl adı və content-type metadata daxil olmaqla qoşma məzmununu əvəzləyə və ya əlavə edə bilər. Bu problem əsasən administrator olmayan və ya məhdudlaşdırılmış operator istifadəçilərinin Avo-ya daxil ola bildiyi və qeyd və ya sahə üzrə əməliyyatların siyasətlər vasitəsilə tətbiq edilməsinin gözlənilməsi tələb olunan çoxrollu Avo Pro/Advanced tipli yerləşdirmələrə təsir göstərir. Bu problem 3.32.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| avo-hq avo | >= 2.28.0, < 3.32.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.