CVE-2026-25498
Açıklama
Craft, dijital deneyimler oluşturmak için kullanılan bir platformdur. 4.0.0-RC1 ile 4.16.17 ve 5.0.0-RC1 ile 5.8.21 arasındaki sürümlerde, Craft CMS'te src/services/Fields.php dosyasındaki assembleLayoutFromPost() fonksiyonunun, kullanıcı tarafından sağlanan yapılandırma verilerini Craft::createObject() fonksiyonuna aktarmadan önce temizlememesi nedeniyle bir Uzaktan Kod Çalıştırma (RCE) zafiyeti bulunmaktadır. Bu durum, kimliği doğrulanmış yöneticilerin, sunucuda rastgele sistem komutları çalıştıran kötü amaçlı Yii2 davranış yapılandırmaları enjekte etmesine olanak tanır. Bu zafiyet, farklı uç noktaları ayrı bir kod yolu üzerinden etkileyen ve CVE-2025-68455 ile giderilen davranış enjeksiyonu zafiyetinin yamalanmamış bir varyantını temsil etmektedir. Bu zafiyet 5.8.22 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- craftcms craft_cms4.16.18, 5.8.22 ya da sonraki bir sürüm
- craftcms/cms5.8.22, 4.16.18 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms craft_cms | 4.0.0 < v < 4.16.18, 5.0.0 < v < 5.8.22, 4.0.0, 5.0.0 | 4.16.18, 5.8.22 |
| craftcms/cmsPackagist | 5.0.0-RC1 ≤ v < 5.8.22, 4.0.0-RC1 ≤ v < 4.16.18 | 5.8.22, 4.16.18 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.