CVE-2024-34082
Açıklama
Grav, dosya tabanlı bir Web platformudur. Versiyon 1.7.46 öncesinde, sayfa düzenleme yetkisine sahip düşük yetkili bir kullanıcı hesabı, Twig Sözdizimi kullanarak herhangi bir sunucu dosyasını okuyabilir. Buna Grav kullanıcı hesap dosyaları olan `/grav/user/accounts/*.yaml` dahildir. Bu dosya; özetlenmiş kullanıcı şifresini, 2FA sırrını ve şifre sıfırlama belirtecini saklar. Bu durum, bir saldırganın bir kullanıcının şifresini sıfırlayarak dosyadan şifre sıfırlama belirtecine erişmesi veya özetlenmiş şifreyi kırarak kayıtlı herhangi bir hesabı ele geçirmesine ve web sunucusundaki herhangi bir dosyayı okumasına olanak tanıyabilir. Düşük yetkili bir kullanıcı, Yöneticiler de dahil olmak üzere diğer kayıtlı kullanıcıların hesaplarını tamamen ele geçirebilir. Versiyon 1.7.46 bir yama içermektedir.
Nasıl düzeltilir
- getgrav grav1.7.46 ya da sonraki bir sürüm
- getgrav/grav1.7.46 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getgrav grav | v < 1.7.46 | 1.7.46 |
| getgrav/gravPackagist | v < 1.7.46 | 1.7.46 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.