CVE-2026-32103
Açıklama
StudioCMS; sunucu tarafında oluşturulan, Astro yerel, headless bir içerik yönetim sistemidir. 0.4.3 sürümünden önce, POST /studiocms_api/dashboard/create-reset-link uç noktası, yönetici ayrıcalıklarına sahip herhangi bir kimliği doğrulanmış kullanıcının, sahip hesabı da dahil olmak üzere diğer tüm kullanıcılar için şifre sıfırlama belirteci oluşturmasına izin verir. İşleyici, çağrıyı yapan kişinin yönetici olduğunu doğrular ancak rol hiyerarşisini zorunlu kılmaz ve hedef userId'nin çağrıyı yapan kişinin kimliğiyle eşleşip eşleşmediğini doğrulamaz. POST /studiocms_api/dashboard/reset-password uç noktasıyla birlikte kullanıldığında bu durum, sistemdeki en yüksek yetkili hesabın tamamen ele geçirilmesine olanak tanır. Bu güvenlik açığı 0.4.3 sürümünde giderilmiştir.
Nasıl düzeltilir
- studiocms studiocms0.4.3 ya da sonraki bir sürüm
- studiocms0.4.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| studiocms studiocms | v < 0.4.3 | 0.4.3 |
| studiocmsnpm | v < 0.4.3 | 0.4.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.