CVE-2020-26223
Yüksek
Açıklama
Spree, Ruby on Rails ile oluşturulmuş eksiksiz bir açık kaynaklı e-ticaret çözümüdür. Spree'nin 3.7 versiyonundan itibaren ve 3.7.13, 4.0.5 ve 4.1.12 versiyonlarından önceki sürümlerinde bir kimlik doğrulama atlatma zafiyeti bulunmaktadır. Saldırgan, Sipariş belirteci olarak boş bir dize göndererek API v2 Order Status uç noktasına sorgu gönderebilir. Bu durum, kullandığınız Spree versiyonuna bağlı olarak 3.7.11, 4.0.4 veya 4.1.11 versiyonlarında düzeltilmiştir. Spree < 3.7 kullanıcıları bu durumdan etkilenmemektedir.
ÖnemYüksek
CVSS7.7
İstismar olasılığı—
Ürün
Spree
Yayın13 Kas 2020
İlk görülme13 Kas 2020
Zayıflık türüCWE-863Hatalı yetki denetimi
Nasıl düzeltilir
Güncelleyin
- spreecommerce spree3.7.13, 4.0.5, 4.1.12 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| spreecommerce spree | 3.7.0 ≤ v < 3.7.13, 4.0.0 ≤ v < 4.0.5, 4.1.0 ≤ v < 4.1.12 | 3.7.13, 4.0.5, 4.1.12 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.