CVE-2020-26255
Açıklama
Kirby bir CMS'dir. Versiyon 3.4.5 öncesindeki Kirby CMS (getkirby/cms) ve versiyon 2.5.14 öncesindeki Kirby Panel'de, Kirby Panel'e tam erişimi olan bir editör, bir PHP .phar dosyası yükleyebilir ve bunu sunucuda çalıştırabilir. Kimliği doğrulanmış Panel kullanıcıları grubunuzda potansiyel saldırganlar bulunabileceği için bu zafiyet kritiktir; çünkü bu tür bir Phar dosyası ile sunucuya erişim sağlayabilirler. Panel erişimi olmayan ziyaretçiler bu saldırı vektörünü *kullanamaz*. Sorun Kirby 2.5.14 ve Kirby 3.4.5 sürümlerinde giderilmiştir. Zafiyeti düzeltmek için lütfen bu sürümlerden birine veya daha yeni bir sürüme güncelleyin. Not: Kirby 2'nin destek süresi 31 Aralık 2020 tarihinde sona ermektedir. Bu nedenle Kirby 2 sitelerinizi Kirby 3'e yükseltmenizi öneririz. Yükseltme yapamıyorsanız, yine de Kirby 2.5.14 sürümüne güncellemenizi tavsiye ederiz.
Nasıl düzeltilir
- getkirby kirby3.4.5 ya da sonraki bir sürüm
- getkirby panel2.5.14 ya da sonraki bir sürüm
- getkirby/panel2.5.14 ya da sonraki bir sürüm
- getkirby/cms3.4.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getkirby kirby | v < 3.4.5 | 3.4.5 |
| getkirby panel | v < 2.5.14 | 2.5.14 |
| getkirby/panelPackagist | v < 2.5.14 | 2.5.14 |
| getkirby/cmsPackagist | 3.0.0 ≤ v < 3.4.5 | 3.4.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.