CVE-2026-29069
Açıklama
Craft bir içerik yönetim sistemidir (CMS). 5.9.0-beta.2 ve 4.17.0-beta.2 sürümlerinden önce, actionSendActivationEmail() uç noktasına kimliği doğrulanmamış kullanıcılar erişebilmekteydi ve bekleyen kullanıcılar için bir izin kontrolü gerektirmiyordu. Önceden erişimi olmayan bir saldırgan, kullanıcı kimliğini bilerek veya tahmin ederek herhangi bir bekleyen kullanıcı hesabı için aktivasyon e-postalarını tetikleyebilir. Eğer saldırgan hedef kullanıcının e-posta adresini kontrol ediyorsa, hesabı aktive edebilir ve sisteme erişim sağlayabilir. Bu güvenlik açığı 5.9.0-beta.2 ve 4.17.0-beta.2 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- craftcms craft_cms4.17.0, 5.9.0 ya da sonraki bir sürüm
- craftcms/cms5.9.0-beta.2, 4.17.0-beta.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms craft_cms | 4.0.0 < v < 4.17.0, 5.0.0 < v < 5.9.0, 4.0.0, 4.17.0, 5.0.0, 5.9.0 | 4.17.0, 5.9.0 |
| craftcms/cmsPackagist | 5.0.0-RC1 ≤ v < 5.9.0-beta.2, 4.0.0-RC1 ≤ v < 4.17.0-beta.2 | 5.9.0-beta.2, 4.17.0-beta.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.