CVE-2023-37260
Açıklama
league/oauth2-server, PHP ile yazılmış bir OAuth 2.0 yetkilendirme sunucusu uygulamasıdır. Versiyon 8.3.2'den başlayarak versiyon 8.5.3 öncesine kadar olan sürümlerde, anahtarlarını CryptKey yapılandırıcısına dosya yolu yerine dize olarak aktaran sunucular, gerekli olduğunda anahtar için geçerli bir parola sağlamadıkları takdirde söz konusu anahtarın bir LogicException mesajına dahil edildiği görülmüştür. Bu sorun, yukarıda belirtilen senaryoda sağlanan anahtarın artık istisna mesajında ifşa edilmeyeceği şekilde yamalanmıştır. Kullanıcıların yamayı almak için versiyon 8.5.3'e yükseltme yapmaları önerilir. Geçici çözüm olarak, anahtarı dize yerine dosya olarak aktarın.
Nasıl düzeltilir
- thephpleague oauth2-server8.5.3 ya da sonraki bir sürüm
- league/oauth2-server8.4.2, 8.5.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| thephpleague oauth2-server | 8.3.2 ≤ v < 8.5.3 | 8.5.3 |
| league/oauth2-serverPackagist | 8.3.2 ≤ v < 8.4.2, 8.5.0 ≤ v < 8.5.3 | 8.4.2, 8.5.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.