CVE-2026-28784
Açıklama
Craft bir içerik yönetim sistemidir (CMS). 5.8.22 ve 4.16.18 sürümlerinden önce, Craft kontrol panelindeki Settings altında Twig girdisini kabul eden metin alanlarında veya System Messages yardımcı programı kullanılarak Twig map filtresi ile kötü amaçlı bir yük oluşturmak mümkündür ve bu durum uzaktan kod çalıştırmaya (RCE) yol açabilir. Bunun çalışması için Craft Control Panel'e yönetici erişiminizin olması ve allowAdminChanges'in etkinleştirilmiş olması gerekir; bu, geliştirme dışı herhangi bir ortam için önerilerimizle çelişir. Alternatif olarak, allowAdminChanges devre dışıyken yönetici olmayan bir hesabınız olabilir, ancak System Messages yardımcı programına erişiminiz vardır. Kullanıcılar sorunu azaltmak için yamalı sürümlere (5.8.22 ve 4.16.18) güncelleme yapmalıdır.
Nasıl düzeltilir
- craftcms craft_cms4.17.0, 5.9.0 ya da sonraki bir sürüm
- craftcms/cms5.9.0-beta.1, 4.17.0-beta.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms craft_cms | 4.0.0 < v < 4.17.0, 5.0.0 < v < 5.9.0, 4.0.0, 5.0.0 | 4.17.0, 5.9.0 |
| craftcms/cmsPackagist | 5.0.0-RC1 ≤ v < 5.9.0-beta.1, 4.0.0-RC1 ≤ v < 4.17.0-beta.1 | 5.9.0-beta.1, 4.17.0-beta.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.