CVE-2026-54677
Təsvir
Scoold komandalar üçün sual-cavab və bilik paylaşımı platformasıdır. 1.69.0 versiyasından əvvəl, şəxsi sahənin üzvü olmayan autentifikasiya olunmuş istifadəçilər həmin sahəyə aid suallarda məzmun yarada bilirlər, çünki QuestionController.java faylındakı QuestionController.reply() və CommentController.java faylındakı CommentController.createAjax() funksiyaları sualların oxunma yolu tərəfindən istifadə edilən canAccessSpace avtorizasiya yoxlamasını tətbiq etmir. scoold.is_default_space_public parametri false olaraq təyin edildikdə və şəxsi sahələrdən istifadə edildikdə, etibarlı sessiyaya malik olan və məlum və ya sadalanan sual identifikatorunu bilən istifadəçi POST /question/{id} və POST /comment ünvanlarına sorğular göndərə bilər ki, bu da cavabların və şərhlərin istifadəçinin oxuya bilmədiyi mövzuda saxlanılmasına səbəb olur. Bu, şəxsi müzakirələrin icazəsiz dəyişdirilməsinə imkan verir və şəxsi fəaliyyətin mövcudluğunu və ya metadata-sını aşkar edən bildirişləri tetikleyə bilər. Bu problem 1.69.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Erudika scoold | < 1.69.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.