CVE-2022-24800
Açıklama
October/System, Laravel PHP Framework tabanlı, kendi sunucunuzda barındırılan bir CMS platformu olan October CMS için sistem modülüdür. Versiyonlar 1.0.476, 1.1.12 ve 2.2.15 öncesinde, geliştirici kullanıcının `fromData` metodunda kendi dosya adını belirlemesine izin verdiğinde, kimliği doğrulanmamış bir kullanıcı geçici depolama dizinindeki bir yarış durumunu (race condition) istismar ederek uzaktan kod çalıştırma (RCE) gerçekleştirebilir. Bu güvenlik açığı, `October\Rain\Database\Attach\File::fromData` metodunu genel bir arayüz olarak sunan eklentileri etkilemektedir; bu metod sistem tarafından dahili veya harici olarak sunulmadığı veya kullanılmadığı için standart October CMS kurulumlarını etkilemez. Sorun Build 476 (v1.0.476), v1.1.12 ve v2.2.15 sürümlerinde giderilmiştir. Yükseltme yapamayanlar, geçici bir çözüm olarak yamayı kurulumlarına manuel olarak uygulayabilirler.
Nasıl düzeltilir
- octobercms october1.0.476, 1.1.12, 2.2.15 ya da sonraki bir sürüm
- october/system1.0.476, 1.1.12, 2.2.15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| octobercms october | v < 1.0.476, 1.1.0 ≤ v < 1.1.12, 2.0.0 ≤ v < 2.2.15 | 1.0.476, 1.1.12, 2.2.15 |
| october/systemPackagist | v < 1.0.476, 1.1.0 ≤ v < 1.1.12, 2.0.0 ≤ v < 2.2.15 | 1.0.476, 1.1.12, 2.2.15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.