CVE-2026-32271
Açıklama
Craft Commerce, Craft CMS için bir e-ticaret platformudur. 4.0.0 ile 4.10.2 ve 5.0.0 ile 5.5.4 arasındaki sürümlerde, Commerce TotalRevenue widget'ında, herhangi bir kimliği doğrulanmış kontrol paneli kullanıcısının dört adımlı bir istismar zinciri aracılığıyla uzaktan kod çalıştırmasına olanak tanıyan bir SQL injection zafiyeti bulunmaktadır. Saldırı, SQL ifadelerine eklenen temizlenmemiş widget ayarlarını, PDO'nun varsayılan çoklu ifade sorgu desteğiyle birleştirerek kuyruk tablosuna kötü amaçlı şekilde serileştirilmiş bir PHP nesnesi enjekte eder. Kuyruk tüketicisi enjekte edilen işi işlediğinde, yii2-queue içindeki kısıtlanmamış unserialize() çağrısı, __destruct() yöntemi sunucunun web kök dizinine bir PHP webshell yazan bir GuzzleHttp FileCookieJar gadget zincirini örneklendirir. Tüm zincir yalnızca üç HTTP isteği gerektirir, yönetici ayrıcalıkları istemez ve kuyruk işlemenin kimlik doğrulaması gerektirmeyen bir uç nokta üzerinden tetiklenmesiyle, PHP işlem kullanıcısı olarak rastgele komut çalıştırılmasıyla sonuçlanır. Bu sorun 4.10.3 ve 5.5.5 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- craftcms/commerce4.10.3, 5.5.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms/commercePackagist | 4.0.0 ≤ v < 4.10.3, 5.0.0 ≤ v < 5.5.5 | 4.10.3, 5.5.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.