CVE-2021-29487
Açıklama
octobercms, Laravel PHP Framework tabanlı bir CMS platformudur. october/system paketinin etkilenen sürümlerinde bir saldırgan, bu zafiyeti kullanarak kimlik doğrulamayı atlatabilir ve bir October CMS sunucusundaki herhangi bir kullanıcı hesabını ele geçirebilir. Zafiyet, kimliği doğrulanmamış kullanıcılar tarafından özel olarak hazırlanmış bir istek aracılığıyla istismar edilebilir. Bu durum yalnızca ön uç (frontend) kullanıcılarını etkilemektedir ve saldırganın bu zafiyeti istismar edebilmesi için çerez şifreleme ve imzalama amacıyla kullanılan bir Laravel gizli anahtarını (secret key) elde etmesi gerekir. Sorun Build 472 ve v1.1.5 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- octobercms october1.0.472, 1.1.5 ya da sonraki bir sürüm
- october/system1.0.472, 1.1.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| octobercms october | 1.0.471 ≤ v < 1.0.472, 1.1.1 ≤ v < 1.1.5 | 1.0.472, 1.1.5 |
| october/systemPackagist | v < 1.0.472, 1.1.1 ≤ v < 1.1.5 | 1.0.472, 1.1.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.