CVE-2026-61454
Təsvir
2.0.4 versiyasından əvvəlki Grav Admin2 plagini (getgrav/grav-plugin-admin2), /grav/admin ünvanındakı (və onun alt marşrutlarındakı) Admin2 SPA bootstrap səhifəsinə qlobal JavaScript dəyişəni olan window.__GRAV_CONFIG__ obyektini daxil edir. Bu obyekt autentifikasiya olunmamış hər bir cavabda geri qaytarılır və server URL-ni, API prefiksini, admin baza yolunu, iş vaxtı mühitinin tipini, eləcə də dəqiq Grav və Admin2 versiya nömrələrini açıqlayır. Bu, autentifikasiya olunmamış hücumçunun kəşfiyyat aparmadan sistemin konfiqurasiyasını müəyyən etməsinə və versiyaya xas exploitləri seçməsinə şərait yaradır.
Necə düzəltmək olar
- getgrav grav2.0.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| getgrav grav | v < 2.0.4 | 2.0.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.