CVE-2026-58467
Təsvir
Cockpit CMS 2.14.0 versiyasına qədər yol keçmə (path traversal) və yerli fayl daxiletmə (local file inclusion) zəifliyi ehtiva edir ki, bu da autentifikasiyadan keçməmiş hücumçulara ixtiyari faylları oxumağa və ya PHP fayllarını icra etməyə imkan verir; zəiflik REQUEST_URI-dən əldə edilən və yoxlanılmamış PATH_INFO-nun məhdudlaşdırma yoxlamaları olmadan fayl sistemi yolunun qurulmasına daxil edilməsi nəticəsində yaranır. Hücumçular URL-ə nöqtə-nöqtə ardıcıllıqları yeridərək təyin edilmiş spaces qovluğundan kənara çıxa bilərlər və həll edilmiş yol .php uzantısı ilə bitdikdə tətbiq onu include() funksiyasına ötürür, bu da PHP daxili serverindən və ya müəyyən qeyri-standart Nginx konfiqurasiyalarından istifadə edən quraşdırmalarda yerli fayl daxiletməsini mümkün edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cockpit-hq cockpit | v ≤ 2.14.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.