CVE-2026-67617
Təsvir
Microweber CMS 2.0.20 versiyasına qədər olan versiyalarda məzmun etiketləmə sistemində saxlanılan saytlararası skriptinq (XSS) boşluğu mövcuddur. Bu boşluq, admin səlahiyyətləri olan hücumçulara GET /api/save_content_admin son nöqtəsinin tag_names parametri vasitəsilə zərərli yüklər göndərərək ixtiyari JavaScript kodlarını yerləşdirməyə imkan verir. Bu proses zamanı üç müstəqil təmizləmə nəzarət mexanizmi dövrülür: GET sorğularını görməzdən gələn XSS middleware, yalnız qoşa dırnaqla göstərilmiş onerror atributlarını tanıyan strip_unsafe() funksiyası və HTML onluq entiti ilə kodlaşdırılmış yükləri dəyişdirilmədən ötürən titlecase normalizatoru. Hücumçular həm ictimai bloq səhifəsinə daxil olan hər bir ziyarətçi üçün, həm də admin yazı redaktorunda istifadəçi qarşılıqlılığı olmadan icra olunan zərərli skriptlər saxlaya bilərlər ki, bu da səhifəyə daxil edilmiş CSRF tokenindən istifadə edərək eyni mənşəli fetch sorğuları vasitəsilə sessiyanın ələ keçirilməsinə (session riding) şərait yaradır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| microweber microweber | v ≤ 2.0.20 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.