CVE-2017-7725
Açıklama
concrete5 8.1.0, yönetici tarafından "Advanced Options" ayarları kullanılarak concrete5 kurulumu sırasında bir "canonical" URL tanımlanmadığı takdirde, önbelleğe alma sırasında HTTP Host başlığına hatalı güven duymaktadır. Uzak saldırganlar, Host başlığında herhangi bir alan adı ile bir GET isteği gönderebilir; bu bilgi saklanır ve sonraki ziyaretçilere gösterilen belirli bağlantılar için rastgele alan adlarının ayarlanmasına olanak tanır, bu da potansiyel bir XSS vektörüdür.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | 8.1.0 | — |
| concrete5/concrete5Packagist | v ≤ 8.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.