CVE-2024-25738
Açıklama
Open Library Foundation VuFind 2.0 ile 9.1 arasındaki sürümlerde (9.1.1 öncesi), /Upgrade/FixConfig rotasındaki bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti, uzak bir saldırganın yerel yapılandırma dosyalarının üzerine yazarak yönetici paneline erişmesine ve Uzaktan Kod Çalıştırma gerçekleştirmesine olanak tanır. Hafifletici bir faktör olarak, varsayılan kurulumlarda kapalı olan PHP çalışma zamanı ayarı allow_url_include seçeneğinin açık olması gerekmektedir. Ayrıca, VuFind kurulumundan sonra varsayılan olarak açık olan ancak config.ini dosyasında autoConfigure değerinin false olarak ayarlanarak devre dışı bırakılması önerilen /Upgrade rotasının erişilebilir olması gerekir.
Nasıl düzeltilir
- vufind/vufind9.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vufind/vufindPackagist | 2.0 ≤ v < 9.1.1 | 9.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.