CVE-2025-30166
Açıklama
Pimcore'un Admin Classic Bundle bileşeni, Pimcore için bir Backend kullanıcı arayüzü sağlar. Bir HTML injection sorunu, e-posta gönderme işlevine erişimi olan kullanıcıların yönetici arayüzü üzerinden gönderilen e-postalara rastgele HTML kodu yerleştirmesine izin vererek potansiyel olarak oturum çerezlerinin çalınmasına ve sayfa içeriğinin değiştirilmesine yol açabilir. Zafiyet, POST yöntemi kullanılarak /admin/email/send-test-email uç noktasında tespit edilmiştir. Hassas parametre, e-posta gönderme işlemi sırasında rastgele HTML kodu enjekte edilmesine izin veren content parametresidir. JavaScript kodu enjeksiyonu filtreleme yoluyla engellenmiş olsa da, HTML kodu enjeksiyonu hala mümkündür. Bu zafiyet 1.7.6 sürümünde giderilmiştir.
Nasıl düzeltilir
- pimcore admin_classic_bundle1.7.6 ya da sonraki bir sürüm
- pimcore/admin-ui-classic-bundle1.7.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pimcore admin_classic_bundle | v < 1.7.6 | 1.7.6 |
| pimcore/admin-ui-classic-bundlePackagist | v < 1.7.6 | 1.7.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.