CVE-2026-56385
Təsvir
Craft CMS versiyaları >= 5.0.0-RC1, <= 5.9.13 və >= 4.0.0-RC1, <= 4.17.7 assets/preview-file endpointində avtorizasiyadan yan keçmə ehtiva edir. Əməliyyat preview məzmununu qaytarmazdan əvvəl hər aktiv üzrə baxış avtorizasiyasını tətbiq etmir və bu, autentifikasiyadan keçmiş aşağı imtiyazlı istifadəçiyə baxmaq icazəsi olmayan aktiv üçün nəzarət edilən assetId təqdim etməyə və yenə də preview cavab məlumatlarını (previewHtml), o cümlədən hədəf özəl assetId-ni ehtiva edən özəl preview şəkil marşrutunu almağa imkan verir. 5.9.14 və 4.17.8 versiyalarında düzəldilib.
Necə düzəltmək olar
- craftcms/cms5.9.14, 4.17.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| craftcms/cmsPackagist | 5.0.0-RC1 ≤ v < 5.9.14, 4.0.0-RC1 ≤ v < 4.17.8 | 5.9.14, 4.17.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.