CVE-2026-63002
Təsvir
REDAXO PHP əsaslı məzmun idarəetmə sistemidir. 5.21.2 versiyasından əvvəl redaxo/src/addons/mediapool/pages/sync.php faylı media fayl sistemindəki $diffFiles dəyişənində saxlanılan fayl adlarını rex_escape() funksiyasını tətbiq etmədən Mediapool Sync səhifəsinə daxil edir. Media kataloquna HTML meta simvolları olan qeydiyyatdan keçməmiş fayl yerləşdirə bilən hücumçu, media[sync] icazəsinə malik backend istifadəçisi Sync səhifəsini açdıqda həmin istifadəçinin brauzerində skript icra edə bilər ki, bu da sessiyanın oğurlanmasına və ya backend-də icazəsiz əməliyyatların yerinə yetirilməsinə şərait yaradır. Bu problem 5.21.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- redaxo redaxo5.21.2 və ya daha yeni versiya
- redaxo/source5.21.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| redaxo redaxo | v < 5.21.2 | 5.21.2 |
| redaxo/sourcePackagist | v < 5.21.2 | 5.21.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.