CVE-2026-57579
Təsvir
Alchemy, Ruby on Rails dilində yazılmış açıq mənbəli məzmun idarəetmə sistemi mühərrikidir. 7.4.15, 8.0.15, 8.1.14 və 8.2.6 versiyalarından əvvəl, app/controllers/alchemy/api/pages_controller.rb faylında Api::PagesController#nested tərəfindən tətbiq edilən autentifikasiya olunmamış GET /api/pages/nested son nöqtəsi filtrlənməmiş səhifə ağacını qaytarır, çünki burada heç bir avtorizasiya həyata keçirilmir və törəmələr çağıranın imkanlarına görə məhdudlaşdırılmır. Anonim çağıranlar, sibling show hərəkətinin rədd etdiyi məhdudiyyətli və dərc olunmamış səhifə metaməlumatlarını əldə edə bilərlər. elements=true parametri təmin edildikdə, PageTreeSerializer həmçinin məhdudiyyətli səhifələrdən element və inqrediyent məzmununu qaytarır, çünki PageTreePreloader və serializer həmin qeydlərə imkan yoxlamasını tətbiq etmir. Bu problem 7.4.15, 8.0.15, 8.1.14 və 8.2.6 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| AlchemyCMS alchemy_cms | < 7.4.15, >= 8.0.0, < 8.0.15, >= 8.1.0, < 8.1.14, >= 8.2.0, < 8.2.6 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.