CVE-2021-32697
Açıklama
neos/forms, web formları oluşturmak için kullanılan açık kaynaklı bir çerçevedir. Geçerli bir form durumu içeren özel bir `GET` isteği hazırlanarak, herhangi bir doğrulayıcı çağrılmadan form gönderilebilir. Form durumu, doğrulanmaya devam eden bir HMAC ile güvence altına alınmıştır. Bu durum, söz konusu sorunun yalnızca Form Finishers'ların hiçbir form değeri gönderilmemiş olsa bile yan etkilere neden olması durumunda istismar edilebileceği anlamına gelir. Form Finishers, yalnızca gönderilen form beklenen bazı verileri içeriyorsa bir eylem gerçekleştirecek şekilde ayarlanabilir. Alternatif olarak, ilk finisher olarak özel bir Finisher eklenebilir. Bu gerileme https://github.com/neos/form/commit/049d415295be8d4a0478ccba97dba1bb81649567 adresiyle tanıtılmıştır.
Nasıl düzeltilir
- neos form4.3.3, 5.0.9, 5.1.3 ya da sonraki bir sürüm
- neos/form4.3.3, 5.0.9, 5.1.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| neos form | 1.2.0 ≤ v < 4.3.3, 5.0.0 ≤ v < 5.0.9, 5.1.0 ≤ v < 5.1.3 | 4.3.3, 5.0.9, 5.1.3 |
| neos/formPackagist | 1.2.0 ≤ v < 4.3.3, 5.0.0 ≤ v < 5.0.9, 5.1.0 ≤ v < 5.1.3 | 4.3.3, 5.0.9, 5.1.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.