CVE-2026-53901
Təsvir
Cerebrate versiya 1.37-dən əvvəlki versiyalarında ümumi CRUD əlavə etmə yolunda kütləvi təyin (mass-assignment) zəifliyi mövcuddur. add() idarəçisi, sorğunu __massageInput() vasitəsilə normallaşdırmazdan əvvəl hücum edən tərəfindən təmin edilən id-ni $params-dan silməyə çalışırdı. Normallaşdırılmış $input hələ də id sahəsini ehtiva edə bildiyi üçün, təsirlənmiş əlavəetmə son nöqtəsinə (endpoint) çata bilən istifadəçi, server tərəfindən idarə olunmalı olan identifikatoru təqdim edə bilərdi. Uğurlu istismar, hücum edən tərəfin seçdiyi identifikatorlarla obyektlərin yaradılmasına imkan verə bilər ki, bu da təsirlənən modeldən və son nöqtənin icazələrindən asılı olaraq, potensial olaraq icazəsiz məlumat manipulyasiyasına, obyekt saxtakarlığına, qeyri-ardıcıl istinadlara və ya identifikator toqquşmaları vasitəsilə xidmətin pozulmasına səbəb ola bilər. Problem, v1.37 versiyasında entity patching prosesindən əvvəl normallaşdırılmış girişdən id-nin silinməsi ilə aradan qaldırılmışdır.
Necə düzəltmək olar
- cerebrate cerebrate1.37 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cerebrate cerebrate | v < 1.37 | 1.37 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.