CVE-2015-3458
Açıklama
Magento Community Edition (CE) 1.9.1.0 ve Enterprise Edition (EE) 1.14.1.0 sürümlerindeki Mage_Core_Block_Template_Zend sınıfında bulunan fetchView fonksiyonu, bir şablon yolunda kullanılan akış sarmalayıcısını kısıtlamamaktadır; bu durum, setScriptPath fonksiyonu ile ilişkili olarak uzak yöneticilerin phar:// akış sarmalayıcısı aracılığıyla rastgele PHP dosyalarını dahil etmesine ve çalıştırmasına olanak tanır. NOT: Yöneticiler halihazırda rastgele dosyaları dahil etme yetkilerine sahip olabileceğinden, bu sorunun yetki sınırlarını aşp aşmadığı net değildir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| magento magento | 1.9.1.0, 1.14.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.