CVE-2026-104905
Açıklama
FacturaScripts'in 2026.7 öncesindeki sürümleri, WidgetSelect::processFormData() fonksiyonunda, kimliği doğrulanmış saldırganların çoklu seçim alanları için bir allowed_classes filtresi olmaksızın ham POST verileri üzerinde unserialize() işlemini tetiklemesine izin veren bir PHP nesne enjeksiyonu zafiyeti içermektedir. Saldırganlar, XLSXWriter nesnesinin __destruct() metodunu çağırmak için alan değeri olarak serileştirilmiş bir XLSXWriter nesnesi gönderebilir; bu durum config.php veya yedekleme verileri gibi saldırgan tarafından belirlenen rastgele dosyaların silinmesine yol açarak hizmet reddine ve potansiyel uygulama yeniden kurulumu ele geçirilmesine neden olabilir.
Nasıl düzeltilir
- NeoRazorX facturascripts2026.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| NeoRazorX facturascripts | 2025.7 ≤ v < 2026.7 | 2026.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.