CVE-2026-22692
Açıklama
October bir İçerik Yönetim Sistemi (CMS) ve web platformudur. 3.7.13 öncesindeki sürümler ile 4.0.0 ve 4.1.4 arasındaki sürümler, isteğe bağlı Twig güvenli mod özelliğinde (CMS_SAFE_MODE) bir sandbox bypass zafiyeti içermektedir. collect() yardımcısı üzerindeki belirli yöntemler uygun şekilde kısıtlanmamış olup, şablon düzenleme izinlerine sahip kimliği doğrulanmış kullanıcıların sandbox korumalarını atlamasına olanak tanımaktadır. İstismar edilmesi için CMS şablon düzenleme izinlerine sahip kimliği doğrulanmış arka uç erişimi gereklidir ve yalnızca CMS_SAFE_MODE özelliğinin etkin olduğu kurulumları etkiler (varsayılan olarak devre dışıdır). Bu sorun 3.7.13 ve 4.1.5 sürümlerinde düzeltilmiştir. Bu sorunu gidermek için kullanıcılar, güvenilmeyen şablon düzenlemeye ihtiyaç duyulmuyorsa CMS_SAFE_MODE özelliğini devre dışı bırakabilir ve CMS şablon düzenleme izinlerini yalnızca tamamen güvenilen yöneticilerle sınırlandırabilir.
Nasıl düzeltilir
- octobercms october3.7.13, 4.1.5 ya da sonraki bir sürüm
- october/rain4.1.5, 3.7.13 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| octobercms october | v < 3.7.13, 4.0.0 ≤ v < 4.1.5 | 3.7.13, 4.1.5 |
| october/rainPackagist | 4.0.0 ≤ v < 4.1.5, v < 3.7.13 | 4.1.5, 3.7.13 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.