CVE-2026-80210
Təsvir
FrontAccounting 2.4.20 versiyasına qədər olan versiyalarda includes/ui/ui_controls.inc faylındakı end_form() funksiyası CSRF tokeni yaradır və onu render etdiyi hər bir formada _token gizli sahəsi kimi yerləşdirir, lakin yalnız admin/users.php və admin/change_current_user_password.php faylları bu tokeni təsdiqləmək üçün check_csrf_token() funksiyasını çağırır. gl/gl_journal.php, gl/gl_bank.php, purchasing/supplier_invoice.php, sales/customer_invoice.php, sales/customer_payments.php və admin/company_preferences.php daxil olmaqla heç bir maliyyə əməliyyatı idarəedicisi tokeni yoxlamır, buna görə də həmin son nöqtələr mənşə yoxlanışı olmadan POST məlumatları ilə işləyir. Autentifikasiya olunmuş istifadəçini öz nəzarətində olan səhifəni yükləməyə vadar edən hücumçu, onlardan hər hansı birinə kross-domen formasını avtomatik göndərə bilər və saxtalaşdırılmış jurnal yazısının, fakturanın, müştəri ödənişinin, bank əməliyyatının və ya şirkət konfiqurasiyası dəyişikliyinin qurbanın sessiyası altında qeydə alınmasını təmin edə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| FrontAccounting FrontAccounting | v ≤ 2.4.20 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.