CVE-2026-100870
Yüksek
Açıklama
1.12.25, 1.13.17, 1.14.20, 2.1.16 ve 2.2.9 öncesindeki Sylius sürümleri, yönetici şifre sıfırlama bağlantılarını herhangi bir doğrulama yapmadan istek Host başlığını kullanarak oluşturur; bu durum, kimliği doğrulanmamış saldırganların sıfırlama belirteçlerini (tokens) saldırgan kontrollü alan adlarına yönlendirmesine olanak tanır. Saldırganlar, geçerli sıfırlama belirteçlerini ele geçirmek ve yönetici hesaplarını devralmak için sahte Host başlıklarıyla bilinen yönetici e-posta adresleri için şifre sıfırlama talebinde bulunabilirler.
ÖnemYüksek
CVSS8.8
İstismar olasılığı—
Ürün
Sylius
Yayın27 Eyl 2026
İlk görülme27 Eyl 2026
Zayıflık türüCWE-640CWE-640
Nasıl düzeltilir
Güncelleyin
- Sylius Sylius1.12.25, 1.13.17, 1.14.20, 2.1.16, 2.2.9 ya da sonraki bir sürüm
Yamalar
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Sylius Sylius | 1.12.0 ≤ v < 1.12.25, 1.13.0 ≤ v < 1.13.17, 1.14.0 ≤ v < 1.14.20, 2.0.0 ≤ v < 2.1.16, 2.2.0 ≤ v < 2.2.9 | 1.12.25, 1.13.17, 1.14.20, 2.1.16, 2.2.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.