CVE-2026-27129
Açıklama
Craft bir içerik yönetim sistemidir (CMS). 4.5.0-RC1 ile 4.16.18 ve 5.0.0-RC1 ile 5.8.22 arasındaki sürümlerde, Craft CMS'in GraphQL Asset mutasyonundaki SSRF doğrulaması, yalnızca IPv4 adreslerini çözen `gethostbyname()` fonksiyonunu kullanmaktadır. Bir ana bilgisayar adı (hostname) yalnızca AAAA (IPv6) kayıtlarına sahip olduğunda, fonksiyon ana bilgisayar adının kendisini döndürerek engelleme listesi karşılaştırmasının her zaman başarısız olmasına neden olur ve SSRF korumasını tamamen devre dışı bırakır. Bu durum, CVE-2025-68437 için yayınlanan güvenlik düzeltmesinin atlatılmasıdır. İstismar edilmesi için `<VolumeName>` birimindeki varlıkları düzenleme ve `<VolumeName>` biriminde varlık oluşturma işlemleri için GraphQL şema izinleri gereklidir. Bu izinler, uygun GraphQL şema erişimine sahip kimliği doğrulanmış kullanıcılara ve/veya Kamu Şemasına (yazma izinleriyle yanlış yapılandırılmışsa) verilmiş olabilir. 4.16.19 ve 5.8.23 sürümleri bu sorunu gidermektedir.
Nasıl düzeltilir
- craftcms craft_cms4.16.19, 5.8.23 ya da sonraki bir sürüm
- craftcms/cms5.8.23, 4.16.19 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms craft_cms | 3.5.0 ≤ v < 4.16.19, 5.0.1 ≤ v < 5.8.23, 5.0.0 | 4.16.19, 5.8.23 |
| craftcms/cmsPackagist | 5.0.0-RC1 ≤ v < 5.8.23, 3.5.0 ≤ v < 4.16.19 | 5.8.23, 4.16.19 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.