CVE-2026-59859
Təsvir
Kiota OpenAPI əsaslı HTTP Client kod generatorudur. 1.29.1 və 1.32.4 versiyalarından əvvəl Kiota-nın PHP generatoru OpenAPI təsvirini, standart sahələri, xüsusiyyət adlarını və sxemdən törəmiş digər sətirləri Writers/StringExtensions.cs faylındakı SanitizeDoubleQuote() vasitəsilə $ işarəsini ekranlamadan (escaping) PHP-nin qoşa dırnaqlı literallarına yerləşdirirdi. Bu, hücumçunun idarə etdiyi ${...}, $var və ya {$obj->prop} interpolasiya konstruksiyaları vasitəsilə yaradılmış model və sorğu qurucu (request-builder) klaslarına ixtiyari PHP kodunun yerləşdirilməsinə şərait yaradırdı. Bu problem 1.29.1 və 1.32.4 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- Microsoft.OpenApi.Kiota1.32.4, 1.29.1 və ya daha yeni versiya
- Microsoft.OpenApi.Kiota.Builder1.32.4, 1.29.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Microsoft.OpenApi.KiotaNuGet | 1.30.0 ≤ v < 1.32.4, v < 1.29.1 | 1.32.4, 1.29.1 |
| Microsoft.OpenApi.Kiota.BuilderNuGet | 1.30.0 ≤ v < 1.32.4, v < 1.29.1 | 1.32.4, 1.29.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.