CVE-2026-28425
Açıklama
Statamic, Laravel ve Git tabanlı bir içerik yönetim sistemidir (CMS). 5.73.16 ve 6.7.2 versiyonlarından önce, Antlers destekli girdilere erişimi olan kimliği doğrulanmış bir kontrol paneli kullanıcısı, uygulama bağlamında uzaktan kod çalıştırma gerçekleştirebilir. Bu durum; hassas konfigürasyonlara erişim, verilerin değiştirilmesi veya sızdırılması ve kullanılabilirlik üzerinde potansiyel etkiler dahil olmak üzere uygulamanın tamamen ele geçirilmesine yol açabilir. İstismar yalnızca Antlers'ın kullanıcı kontrollü içerikler üzerinde çalıştığı durumlarda mümkündür; örneğin, Antlers'ın açıkça etkinleştirildiği içerik alanları (alanları yapılandırmak ve girişleri düzenlemek için izin gerektirir), Formlar e-posta bildirim ayarları gibi Antlers destekleyen yerleşik konfigürasyonlar (yapılandırma izni gerektirir) veya girişlere Antlers destekli alanlar ekleyen üçüncü taraf eklentiler (örneğin, SEO Pro eklentisi). Her durumda saldırganın ilgili kontrol paneli izinlerine sahip olması gerekir. Bu sorun 5.73.16 ve 6.7.2 sürümlerinde düzeltilmiştir. Statamic'e bağımlı eklenti kullanan kullanıcılar, güncelleme sonrası yamalanmış bir Statamic sürümü çalıştırdıklarından emin olmalıdır.
Nasıl düzeltilir
- statamic statamic5.73.11, 6.4.0 ya da sonraki bir sürüm
- statamic/cms5.73.16, 6.7.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| statamic statamic | v < 5.73.11, 6.0.0 ≤ v < 6.4.0 | 5.73.11, 6.4.0 |
| statamic/cmsPackagist | v < 5.73.16, 6.0.0-alpha.1 ≤ v < 6.7.2 | 5.73.16, 6.7.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.