CVE-2026-55562
Təsvir
Cronicle veb əsaslı ön təminat interfeysinə malik çoxserverli tapşırıq planlayıcısı və icraçısıdır. 0.9.119 versiyasından əvvəl, htdocs/js/pages/admin/Activity.js faylında yerləşən administrator Fəaliyyət Jurnalı (Activity Log), hücum edən tərəfindən idarə olunan item.user.full_name dəyərini encode_entities tətbiq etmədən HTML-ə birləşdirir və nəticəni this.div.html vasitəsilə daxil edir. Paketdə olan pixl-server-user giriş filtri sətir sonu simvolu ehtiva edən teqlərlə yan keçilə bilər, çünki onun müntəzəm ifadəsi (regular expression) yeni sətirləri tanımır. Autentifikasiya olunmuş qeyri-administrator istifadəçi, keçərli sessiya və cari şifrə vasitəsilə /api/user/update ünvanı ilə öz adını yeniləyə bilər; free_accounts aktiv olduqda, anonim hücum edən şəxs isə bu adı qeydiyyat zamanı təyin edə bilər. Saxlanılan ad, Fəaliyyət Jurnalı açıldıqda administratorun sessiyasında skripti icra edərək administrator hesabının ələ keçirilməsinə və daha sonra imtiyazlı Cronicle funksiyaları vasitəsilə əmrlərin icrasına imkan verir. Bu problem 0.9.119 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| jhuckaby Cronicle | < 0.9.119 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.