CVE-2024-7398
Açıklama
Concrete CMS'in 9 ile 9.3.3 arasındaki sürümleri ve 8.5.19 altındaki sürümleri, takvim etkinliği adı çıktı sırasında temizlenmediği için takvim etkinliği ekleme özelliğinde saklı XSS zafiyetine sahiptir. Etkinlik takvimleri oluşturma iznine sahip kullanıcılar veya gruplar betikler gömebilir ve etkinlik takvimlerini düzenleme iznine sahip kullanıcılar veya gruplar bu betikleri çalıştırabilir. Concrete CMS Güvenlik Ekibi, bu zafiyete CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:A/VC:N/VI:N/VA:N/SC:L/SI:N/SA:N vektörü ile 4.6 CVSS v4 puanı vermiştir. Bildirimi yapan Yusuke Uchida'ya teşekkürler. CNA, erişim ayrıcalıklarının AC için dikkate alınmaması gerektiğini belirten CVSS 4.0 dokümantasyonuna dayanarak AC değerini düşürerek bu risk derecesini 20 Ocak 2025 tarihinde güncellemiştir.
Nasıl düzeltilir
- concretecms concrete_cms8.5.19, 9.3.3 ya da sonraki bir sürüm
- concrete5/concrete59.3.4, 8.5.19 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | v < 8.5.19, 9.0.0 ≤ v < 9.3.3 | 8.5.19, 9.3.3 |
| concrete5/concrete5Packagist | 9.0.0 ≤ v < 9.3.4, v < 8.5.19 | 9.3.4, 8.5.19 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.