CVE-2025-66625
Açıklama
Umbraco bir ASP.NET CMS'dir. 10.0.0 ile 13.12.0 arasındaki sürümlerde geçici dosyaların güvensiz işlenmesi ve silinmesi nedeniyle, sözlük yükleme işlemi sırasında backoffice erişimi olan bir saldırgan, geçici dosya yollarına öngörülebilir istekler tetikleyebilir. Uygulamanın hata yanıtları (dosya mevcut olduğunda HTTP 500, olmadığında 404), saldırganın sunucunun dosya sistemindeki rastgele dosyaların varlığını tespit etmesine olanak tanır. Bu güvenlik açığı, dosya içeriklerinin okunmasına veya yazılmasına izin vermez. Belirli yapılandırmalarda, geçici yükleme dosyalarının eksik temizlenmesi, Umbraco uygulamasını çalıştıran Windows hesabının NTLM özetinin (hash) ek olarak ifşa olmasına neden olabilir. Bu sorun 13.12.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- umbraco umbraco_cms13.12.1 ya da sonraki bir sürüm
- Umbraco.Cms13.12.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| umbraco umbraco_cms | 10.0.0 ≤ v < 13.12.1 | 13.12.1 |
| Umbraco.CmsNuGet | 10.0.0 ≤ v < 13.12.1 | 13.12.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.