CVE-2026-29113
Açıklama
Craft bir içerik yönetim sistemidir (CMS). 4.17.3 ve 5.9.7 sürümlerinden önce, Craft CMS'in /actions/preview/create-token adresindeki önizleme belirteci uç noktasında bir CSRF sorunu bulunmaktadır. Uç nokta, saldırgan tarafından sağlanan bir previewToken değerini kabul etmektedir. İşlem POST isteği gerektirmediği ve bir CSRF belirteci zorunlu kılmadığı için, bir saldırgan oturum açmış olan kurban editörü, saldırgan tarafından seçilen bir önizleme belirteci oluşturmaya zorlayabilir. Bu belirteç daha sonra saldırgan tarafından (kimlik doğrulaması olmaksızın), kurbanın yetkili önizleme kapsamına bağlı önizlenen/yayımlanmamış içeriğe erişmek için kullanılabilir. Bu güvenlik açığı 4.17.3 ve 5.9.7 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- craftcms craft_cms4.17.4, 5.9.7 ya da sonraki bir sürüm
- craftcms/cms4.17.3, 5.9.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms craft_cms | 4.0.0 ≤ v < 4.17.4, 5.0.0 ≤ v < 5.9.7 | 4.17.4, 5.9.7 |
| craftcms/cmsPackagist | 4.0.0-RC1 ≤ v < 4.17.3, 5.0.0-RC1 ≤ v < 5.9.7 | 4.17.3, 5.9.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.