CVE-2022-22691
Açıklama
Umbraco içerisinde konuşlandırılan şifre sıfırlama bileşeni, bir şifre sıfırlama URL'si oluştururken istek host başlığı içinde sağlanan hostname bilgisini kullanmaktadır. Bu durumun, Umbraco kullanıcılarına gönderilen URL'nin saldırganın sunucusuna yönlendirilmesi için manipüle edilmesini mümkün kılabileceği ve böylece bağlantıya tıklandığında şifre sıfırlama belirtecinin (token) açığa çıkabileceği değerlendirilmektedir. İlgili bir başka zafiyet (CVE-2022-22690), başarılı bir saldırının ardından tüm şifre sıfırlama URL'lerinin kalıcı olarak etkilenmesine yol açarak bu kusurun kalıcı hale gelmesine izin verebilir. Daha fazla bilgi ve ilgili uyarılar için AppCheck danışmanlık bildirimine bakınız.
Nasıl düzeltilir
- umbraco umbraco_cms9.2.0 ya da sonraki bir sürüm
- Umbraco.Cms.Core9.2.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| umbraco umbraco_cms | v < 9.2.0 | 9.2.0 |
| Umbraco.Cms.CoreNuGet | v < 9.2.0 | 9.2.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.