CVE-2026-30662
Açıklama
ConcreteCMS v9.4.7, File Manager bileşeninde bir Hizmet Reddi (DoS) zafiyeti içermektedir. 'concrete/controllers/backend/file.php' dosyasındaki 'download' metodu, zip arşivleri oluştururken belleği uygunsuz şekilde yönetmektedir. Bu metod, seçilen her dosyanın tüm içeriğini PHP belleğine yükleyen 'file_get_contents' ile birlikte 'ZipArchive::addFromString' kullanmaktadır. Kimliği doğrulanmış bir saldırgan, büyük dosyaların toplu indirilmesini talep ederek bu durumu istismar edebilir; bu da PHP-FPM işleminin sonlanmasına (SIGSEGV) ve web sunucusunun 500 hatası döndürmesine neden olan bir Bellek Yetersizliği (OOM) durumunu tetikler.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| concretecms concrete_cms | 9.4.7 | — |
| concrete5/concrete5Packagist | v ≤ 9.4.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.