CVE-2024-28117
Açıklama
Grav, açık kaynaklı, düz dosya tabanlı bir içerik yönetim sistemidir. 1.7.45 sürümünden önce, Grav erişilebilir işlevleri Utils::isDangerousFunction işlevi aracılığıyla doğrular, ancak twig_array_map gibi twig işlevlerine kısıtlama getirmez ve saldırganların doğrulamayı atlatıp rastgele komutlar çalıştırmasına olanak tanır. Statik sayfaların Twig işlemesi, sayfa oluşturma veya düzenleme izni olan herhangi bir yönetici kullanıcı tarafından front matter içinde etkinleştirilebilir. Twig işlemcisi sandbox olmadan çalıştığı için bu davranış, rastgele kod çalıştırma elde etmek ve örnek üzerinde yetki yükseltme amacıyla kullanılabilir. Yamalanmış 1.7.45 sürümüne yükseltme bu sorunu hafifletebilir.
Nasıl düzeltilir
- getgrav grav1.7.45 ya da sonraki bir sürüm
- getgrav/grav1.7.45 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav | v < 1.7.45 | 1.7.45 |
| getgrav/gravPackagist | v < 1.7.45 | 1.7.45 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.