CVE-2023-2017
Açıklama
Shopware 6 (<= v6.4.20.0, v6.5.0.0-rc1 <= v6.5.0.0-rc4) sürümlerinde, hem shopware/core hem de shopware/platform GitHub depolarını etkileyen Sunucu Tarafı Şablon Enjeksiyonu (SSTI), Sandbox uzantısı olmadan bir Twig ortamına erişimi olan uzak saldırganların `Shopware\Core\Framework\Adapter\Twig\SecurityExtension` içindeki doğrulama kontrollerini atlatmasına ve çağrılabilirlere başvururken dize dizisi olarak sağlanan tam nitelikli adların kullanımı yoluyla herhangi bir rastgele PHP işlevini çağırmasına ve böylece rastgele kod/komut çalıştırmasına olanak tanır. Kullanıcıların bu sorunu gidermek için v6.4.20.1 sürümüne yükseltme yapmaları önerilir. Bu, CVE-2023-22731 için bir atlatmadır.
Nasıl düzeltilir
- shopware/platform6.4.20.1 ya da sonraki bir sürüm
- shopware/core6.4.20.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shopware shopware | 6.1.0 ≤ v ≤ 6.4.20.0, 6.5.0.0 | — |
| shopware/platformPackagist | v < 6.4.20.1 | 6.4.20.1 |
| shopware/corePackagist | v < 6.4.20.1 | 6.4.20.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.