CVE-2026-79773
Təsvir
1.2.13 versiyasından əvvəlki Winter CMS, JavascriptImporter filtrində lokal faylların daxil edilməsi (local file inclusion) boşluğuna malikdir. Bu boşluq, cms.manage_assets icazəsi olan autentifikasiya olunmuş istifadəçilərə mövzu JavaScript aktivlərində =include və ya =require direktivləri yerləşdirməklə serverdə oxuna bilən istənilən faylları ifşa etməyə imkan verir. Hücumçular mövzu kataloqundan kənarda olan .env kimi fayllara istinad edə bilərlər və combine marşrutu vasitəsilə təqdim olunan birləşmiş çıxış autentifikasiya olunmamış ziyarətçilər tərəfindən oxuna bilir ki, bu da tətbiq açarlarının və məlumat bazası etibarnamələrinin ifşasına səbəb olur.
Necə düzəltmək olar
- winter/wn-system-module1.2.13 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| winter/wn-system-modulePackagist | v < 1.2.13 | 1.2.13 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.