CVE-2022-39314
Açıklama
Kirby bir flat-file CMS'dir. 3.5.8.2, 3.6.6.2, 3.7.5.1 ve 3.8.1 öncesindeki sürümlerde Kirby, Aşırı Kimlik Doğrulama Denemelerinin Uygun Şekilde Kısıtlanmaması nedeniyle kullanıcı numaralandırmaya (user enumeration) maruz kalmaktadır. Bu güvenlik açığı, yalnızca `auth.methods` seçeneği ile `code` veya `password-reset` kimlik doğrulama yöntemini kullanıyorsanız veya üretim ortamında `debug` seçeneğini etkinleştirdiyseniz sizi etkiler. İki veya daha fazla IP adresi ve çok sayıda giriş denemesi kullanılarak geçerli kullanıcı hesapları kilitlenecek ancak geçersiz hesaplar kilitlenmeyecektir; bu durum hesap numaralandırmaya yol açar. Bu sorun 3.5.8.2, 3.6.6.2, 3.7.5.1 ve 3.8.1 sürümlerinde düzeltilmiştir. Hemen güncelleyemiyorsanız, kod tabanlı girişi ve şifre sıfırlama formlarını devre dışı bırakan `auth.methods` seçeneğini `password` olarak ayarlayarak sorunu giderebilirsiniz.
Nasıl düzeltilir
- getkirby kirby3.5.8.2, 3.6.6.2, 3.7.5.1 ya da sonraki bir sürüm
- getkirby/cms3.5.8.2, 3.6.6.2, 3.7.5.1, 3.8.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getkirby kirby | v < 3.5.8.2, 3.6.0 ≤ v < 3.6.6.2, 3.7.0 ≤ v < 3.7.5.1, 3.8.0 | 3.5.8.2, 3.6.6.2, 3.7.5.1 |
| getkirby/cmsPackagist | 3.5.0 ≤ v < 3.5.8.2, 3.6.0 ≤ v < 3.6.6.2, 3.7.0 ≤ v < 3.7.5.1, 3.8.0 ≤ v < 3.8.1 | 3.5.8.2, 3.6.6.2, 3.7.5.1, 3.8.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.