CVE-2025-47280
Açıklama
Umbraco Forms, Umbraco içerik yönetim sistemi ile entegre olan bir form oluşturucudur. 7.x dalından başlayarak 13.4.2 ve 15.1.2 versiyonlarından önceki sürümlerde, 'Send email' iş akışı, gönderilen e-posta mesajındaki kullanıcı tarafından sağlanan alan değerlerini HTML olarak kodlamamaktadır; bu durum, söz konusu iş akışının yapılandırıldığı tüm formları savunmasız hale getirerek mesajın güvenilir bir sistem ve adresten gönderilmesine izin verir ve potansiyel olarak spam ve e-posta istemcisi güvenlik sistemlerinin atlatılmasına yol açar. Bu sorun, Umbraco Forms'un tüm (desteklenen) versiyonlarını etkilemektedir ve 13.4.2 ile 15.1.2 sürümlerinde yamalanmıştır. Yamalanmamış veya desteklenmeyen versiyonlar, bunun yerine `Send email with template (Razor)` iş akışını kullanarak veya özel bir iş akışı türü yazarak bu sorunu giderebilir. Savunmasız iş akışının yanlışlıkla tekrar kullanılmasını önlemek için, `SendEmail` iş akışı türü, bu zafiyet için GitHub Security Advisory'de mevcut olan bir composer kullanılarak kaldırılabilir.
Nasıl düzeltilir
- umbraco umbraco_forms13.4.2, 15.1.2 ya da sonraki bir sürüm
- Umbraco.Forms13.4.2, 15.1.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| umbraco umbraco_forms | 7.0.0 ≤ v < 13.4.2, 14.0.0 ≤ v < 15.1.2 | 13.4.2, 15.1.2 |
| Umbraco.FormsNuGet | 7.0.0 ≤ v < 13.4.2, 14.0.0 ≤ v < 15.1.2 | 13.4.2, 15.1.2 |
| UmbracoFormsNuGet | 7.0.0 ≤ v ≤ 8.13.16 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.