CVE-2026-65693
Təsvir
Microweber CMS 2.0.20 versiyasına qədər olan versiyalarda, autentifikasiya olunmuş administratorlara e-poçt şablonlarına Twig ifadələri yerləşdirməklə istənilən ƏMƏLİYYAT sistemi əmrinin icrasına imkan verən server tərəfli şablon inyeksiyası zəifliyi mövcuddur. Hücumçular `TwigView::render()` funksiyasındakı `SandboxExtension` və ya `SecurityPolicy`-nin olmadığı qumcuqlaşdırılmamış Twig mühitindən istifadə edərək, verilənlər bazasında təmizlənmədən saxlanılan e-poçt şablonlarının gövdəsinə `filter('system')` kimi zərərli ifadələr yerləşdirə bilərlər ki, bu da e-poçt göndərişini tətikləyən hər bir növbəti tətbiq hadisəsi zamanı faydalı yükün avtomatik icrasına səbəb olur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| microweber microweber | v ≤ 2.0.20 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.