CVE-2022-24734
Açıklama
MyBB, ücretsiz ve açık kaynaklı bir forum yazılımıdır. Etkilenen sürümlerde Admin CP'nin Ayarlar yönetim modülü, ekleme ve güncelleme sırasında ayar türlerini doğru şekilde doğrulamaz; bu da desteklenen `php` türünde PHP kodu içeren ayarların eklenmesini ve bu kodun _Change Settings_ sayfalarında çalıştırılmasını mümkün kılar. Bu, Uzaktan Kod Çalıştırma (RCE) güvenlik açığına yol açar. Savunmasız modül, `Can manage settings?` izniyle Admin CP erişimi gerektirir. Yöneticilerin varsayılan olmayan ayarları eklemesine, düzenlemesine ve silmesine olanak tanıyan MyBB'nin Ayarlar modülü, ayar verilerini ayar türünü ve seçeneklerini tanımlayan ve yeni satır karakteri (\n) ile ayrılan bir seçenek kodu dizesinde ($options_code; mybb_settings.optionscode veritabanı sütunu) saklar. MyBB 1.2.0'da, seçenek kodunun kalan kısmının Change Settings sayfalarında çalıştırılan PHP kodu olduğu php ayar türü desteği eklendi (eklentiler ve dahili kullanım için ayrılmıştır). MyBB 1.8.30 bu sorunu giderir. Bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- mybb mybb1.8.30 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mybb mybb | 1.2.0 ≤ v < 1.8.30 | 1.8.30 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.