CVE-2026-56382
Təsvir
Craft CMS (composer paketi craftcms/cms) versiyaları >= 5.5.0 və <= 5.9.13 arasında olan sistemlərdə FieldsController::actionRenderCardPreview() metodunda uzaqdan kodun icrası zəifliyi mövcuddur. Bu metod fieldLayoutConfig POST parametrini Component::cleanseConfig() funksiyasını çağırmadan birbaşa Fields::createLayout() metoduna ötürür. Autentifikasiya olunmuş admin istifadəçisi fieldLayoutConfig parametri vasitəsilə Yii2 hadisə idarəedicilərini (məsələn, 'on init' açarlarını) yerləşdirərək ixtiyari PHP kodunu icra edə və həssas məlumatları (məsələn, verilənlər bazasının etibarnamələri və CRAFT_SECURITY_KEY ehtiva edən mühit dəyişənlərini) əldə edə bilər. Problem 5.9.14 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- craftcms/cms5.9.14 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| craftcms/cmsPackagist | 5.5.0 ≤ v < 5.9.14 | 5.9.14 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.