CVE-2021-39174
Açıklama
Cachet, açık kaynaklı bir durum sayfası sistemidir. Versiyon 2.5.1 öncesinde, yetkileri ne olursa olsun (Kullanıcı veya Yönetici) kimliği doğrulanmış kullanıcılar; uygulama sırrı (`APP_KEY`) ve çeşitli parolalar (e-posta, veritabanı vb.) gibi dotenv dosyasındaki herhangi bir yapılandırma girişinin değerini sızdırabilirler. Bu sorun, `UpdateConfigCommandHandler` geliştirilerek ve sonuçlanan dotenv yapılandırma dosyasında iç içe değişkenlerin kullanımı engellenerek versiyon 2.5.1'de giderilmiştir. Geçici bir çözüm olarak, yönetim paneline erişime yalnızca güvenilir kaynak IP adreslerine izin verilmelidir.
Nasıl düzeltilir
- catchethq catchet2.5.1 ya da sonraki bir sürüm
- cachethq/cachet2.5.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| catchethq catchet | v < 2.5.1 | 2.5.1 |
| cachethq/cachetPackagist | v < 2.5.1 | 2.5.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.