CVE-2026-67595
Təsvir
VaahCMS versiyaları 2.0.0-dan 2.3.4-ə qədər olan versiyalarda təhlükəsizlik OTP e-poçtlarının render edilməsinə cavabdeh olan Blade şablonuna yerləşdirilmiş zərərli obfuskasiya olunmuş JavaScript faylı mövcuddur. Bu, uzaqdakı hücumçulara JavaScript aktiv edilmiş hər hansı brauzerdə təsirlənmiş e-poçt şablonunu render edərkən icazəsiz kodun icrasına şərait yaradır. Fayl sabitləşdirilmiş komanda və idarəetmə nöqtəsinə WebSocket bağlantısı qurur, dinamik əlavə edilmiş girişləri tutmaq üçün MutationObserver vasitəsilə parol sahəsi keyloqqerini quraşdırır, WhatsApp Web DOM məzmununu oxuyur və render edilmiş səhifəni yönləndirmək və ya üzərinə yazmaq üçün uzaqdan gələn komandaları qəbul edir.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| webreinvent vaahcms | 2.0.0 ≤ v ≤ 2.3.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.