CVE-2026-29001
Açıklama
TastyIgniter 4.4.5 ve öncesi sürümler, kimliği doğrulanmış yöneticilerin bir ayar değeri olarak serileştirilmiş bir PHP nesnesi göndererek keyfi kod çalıştırmasına olanak tanıyan bir PHP nesne enjeksiyonu zafiyeti içermektedir; bu değer temizlenmeden saklanmakta ve daha sonra ayar okunduğunda getValueAttribute() tarafından serisizleştirilmektedir. Saldırganlar, PHP uygulama süreci kullanıcısı olarak keyfi işletim sistemi komutu çalıştırmak için yönetici ayarları formu üzerinden (örneğin CheckMaintenance.php tarafından yüklenen maintenance_message ayarı aracılığıyla) phpggc ile oluşturulmuş bir serileştirilmiş gadget zinciri gönderebilir ve bu etki, değer üzerine yazılana kadar devam eder.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tastyigniter TastyIgniter | v ≤ 4.4.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.