CVE-2026-25493
Açıklama
Craft, dijital deneyimler oluşturmak için kullanılan bir platformdur. Craft'ın 4.0.0-RC1 ile 4.16.17 ve 5.0.0-RC1 ile 5.8.21 arasındaki sürümlerinde, saveAsset GraphQL mutasyonu başlangıç URL ana bilgisayar adını ve çözümlenen IP adresini bir engelleme listesine göre doğrular ancak Guzzle varsayılan olarak HTTP yönlendirmelerini takip eder. Bir saldırgan, bulut meta veri uç noktalarına veya herhangi bir dahili IP adresine işaret eden bir yönlendirme barındurarak tüm SSRF korumalarını atlayabilir. Bu sorun 4.16.18 ve 5.8.22 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- craftcms craft_cms4.16.18, 5.8.22 ya da sonraki bir sürüm
- craftcms/cms5.8.22, 4.16.18 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms craft_cms | 4.0.0 < v < 4.16.18, 5.0.0 < v < 5.8.22, 4.0.0, 5.0.0 | 4.16.18, 5.8.22 |
| craftcms/cmsPackagist | 5.0.0-RC1 ≤ v < 5.8.22, 4.0.0-RC1 ≤ v < 4.16.18 | 5.8.22, 4.16.18 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.