CVE-2022-29221
Yüksek
Açıklama
Smarty, sunumun (HTML/CSS) uygulama mantığından ayrılmasını kolaylaştıran bir PHP şablon motorudur. 3.1.45 ve 4.1.1 sürümlerinden önce, şablon yazarları kötü niyetli bir {block} adı veya {include} dosya adı seçerek php kodu enjekte edebiliyordu. Şablon yazarlarına tam olarak güvenemeyen siteler, bu sorun için bir yama almak üzere 3.1.45 veya 4.1.1 sürümlerine yükseltme yapmalıdır. Şu anda bilinen bir geçici çözüm bulunmamaktadır.
ÖnemYüksek
CVSS8.8
İstismar olasılığı—
Ürün
Smarty
Yayın24 May 2022
İlk görülme24 May 2022
Zayıflık türüCWE-94Kod enjeksiyonu
Nasıl düzeltilir
Güncelleyin
- smarty smarty3.1.45, 4.1.1 ya da sonraki bir sürüm
- smarty/smarty3.1.45, 4.1.1 ya da sonraki bir sürüm
Üretici duyuruları
- debian.org/security/2022/dsa-5151
- security.gentoo.org/glsa/202209-09
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/L777JIBIWJV34HS7LXPIDWASG7TT4LNI/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/BRAJVDRGCIY5UZ2PQHKDTT7RMKG6WJQQ/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| smarty smarty | v < 3.1.45, 4.0.0 ≤ v < 4.1.1 | 3.1.45, 4.1.1 |
| debian debian_linux | 9.0, 10.0, 11.0 | — |
| fedoraproject fedora | 36, 37 | — |
| smarty/smartyPackagist | v < 3.1.45, 4.0.0 ≤ v < 4.1.1 | 3.1.45, 4.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.