CVE-2026-27181
Açıklama
MajorDoMo (diğer adıyla Major Domestic Module), market modülü aracılığıyla kimlik doğrulaması yapılmamış rastgele modül kaldırılmasına izin vermektedir. Market modülünün admin() metodu, yürütmenin başında $_REQUEST üzerinden gr('mode') değerini okur ve bunu $this->mode değişkenine atayarak, /objects/?module=market uç noktası üzerinden tüm mod kapılı kod yollarının kimlik doğrulaması olmadan erişilebilir olmasını sağlar. Kaldırma modu işleyicisi, veritabanındaki modül kayıtlarını silen, modülün uninstall() metodunu eval() aracılığıyla çalıştıran, removeTree() kullanarak modül dizinini ve şablon dosyalarını özyinelemeli olarak silen ve ilişkili döngü betiklerini kaldıran uninstallPlugin() fonksiyonunu çağırır. Bir saldırgan, modül isimleri üzerinde yineleme yaparak bir dizi kimlik doğrulaması yapılmamış GET isteği ile tüm MajorDoMo kurulumunu silebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mjdm majordomo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.