CVE-2021-32735
Açıklama
Kirby bir içerik yönetim sistemidir. Kirby CMS 3.5.5 ve 3.5.6 sürümlerinde, Panel'in `ListItem` bileşeni (örneğin sayfalar ve dosyalar bölümünde kullanılır), sayfa başlıklarındaki HTML içeriğini olduğu gibi görüntülemekteydi. Bu durum, siteler arası betik çalıştırma (XSS) saldırıları için kullanılabilirdi. Kötü niyetli kimliği doğrulanmış Panel kullanıcıları, bir yönetici kullanıcısının Panel oturumuna erişim sağladıklarında yetkilerini yükseltebilirler. Panel erişimi olmayan ziyaretçiler, eğer site ön uçtaki bir form üzerinden site verilerinin değiştirilmesine izin veriyorsa bu saldırı vektörünü kullanabilirler. Kirby 3.5.7 sürümü bu güvenlik açığını gidermektedir. Kısmi bir çözüm olarak site yöneticileri, ön uç formundan gelen verileri doğrulayarak veya temizleyerek Panel erişimi olmayan ziyaretçilerden gelebilecek saldırılara karşı koruma sağlayabilirler.
Nasıl düzeltilir
- getkirby kirby3.5.7 ya da sonraki bir sürüm
- getkirby/cms3.5.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getkirby kirby | v < 3.5.7 | 3.5.7 |
| getkirby/cmsPackagist | v < 3.5.7 | 3.5.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.