CVE-2024-4353
Açıklama
Concrete CMS 9.0.0 ile 9.3.2 arasındaki sürümler, dashboard board instance oluşturma işlevinde saklı bir XSS zafiyetinden etkilenmektedir. Name giriş alanı, girdiyi yeterince kontrol etmeyerek kötü niyetli bir yöneticinin zararlı JavaScript kodu enjekte etmesine olanak tanımaktadır. Concrete CMS güvenlik ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N vektörü ile 4.6 CVSS v4 puanı vermiştir. 9 altındaki Concrete sürümleri bu zafiyetten etkilenmemektedir. Bildirim için fhAnso'ya teşekkürler. (CNA, erişim ayrıcalıklarının AC için dikkate alınmaması gerektiğine dair CVSS 4.0 dokümantasyonuna dayanarak AC değerini düşürerek bu risk derecesini 17 Ocak 2025 tarihinde güncellemiştir).
Nasıl düzeltilir
- concretecms concrete_cms9.3.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | 9.0.0 ≤ v < 9.3.3 | 9.3.3 |
| concrete5/concrete5Packagist | 9.0.0 ≤ v ≤ 9.3.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.