CVE-2024-36119

Statamic, web siteleri oluşturmak için tasarlanmış, Laravel ve Git destekli bir CMS'dir. Etkilenen sürümlerde, `user:register_form` etiketi aracılığıyla kayıt olan kullanıcıların şifre onayları, kullanıcı dosyalarında düz metin olarak saklanmaktadır. Bu durum yalnızca aşağıdaki koşulların **tamamını** karşılayan siteleri etkilemektedir: 1. 5.3.0 ile 5.6.1 arasındaki Statamic sürümlerini çalıştıranlar (Bu sürüm aralığı yalnızca bir takvim haftasını temsil eder), 2. `user:register_form` etiketini kullananlar, 3. Dosya tabanlı kullanıcı hesaplarını kullananlar (Veritabanında saklanan kullanıcılar etkilenmez), 4. Bu zaman diliminde kayıt olmuş kullanıcıları olanlar (Mevcut kullanıcılar etkilenmez). Ek olarak, şifreler yalnızca kullanıcı yaml dosyalarını okuma yetkisine sahip olan kullanıcılar tarafından görülebilir; bu kişiler genellikle uygulamanın kendi geliştiricileridir. Bu sorun 5.6.2 sürümünde yamalanmıştır ancak söz konusu zaman diliminde kayıt olan ve etkilenen sürüm aralığını kullanan tüm kullanıcılarda yaml dosyaları hala `password_confirmation` değerini içerecektir. Etkilenen kullanıcıların şifrelerini sıfırlamaları önerilir. Sistem yöneticilerinin kurulumlarını güncellemeleri tavsiye edilir. Bu güvenlik açığı için bilinen bir geçici çözüm yoktur. Dosyalarını herkese açık bir git deposuna gönderenlerin, şifrelerin yüklenmiş olma ihtimaline karşı hassas verileri git geçmişinden temizlemeyi değerlendirmeleri önerilir.