CVE-2026-33051
Açıklama
Craft CMS bir içerik yönetim sistemidir (CMS). 5.9.0-beta.1 ile 5.9.10 arasındaki sürümlerde, öğe düzenleyicisindeki revizyon/taslak bağlam menüsü, Template::raw() fonksiyonunun Craft::t() dize interpolasyonu ile birlikte kullanılması nedeniyle oluşturucunun fullName bilgisini ham HTML olarak işlemektedir. Düşük yetkili bir kontrol paneli kullanıcısı (örneğin Yazar), profil düzenleyici aracılığıyla fullName değerini bir XSS yüküyle ayarlayabilir ve ardından iki kez kaydederek bir giriş oluşturabilir. Eğer bir yönetici oturum açmışsa ve yüksek yetkili bir oturum aktifken özel olarak hazırlanmış bir yük çalıştırırsa, saldırganın hesabı yönetici seviyesine yükseltilebilir. Bu sorun 5.9.11 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- craftcms craft_cms5.9.11 ya da sonraki bir sürüm
- craftcms/cms5.9.11 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms craft_cms | 5.9.0 ≤ v < 5.9.11 | 5.9.11 |
| craftcms/cmsPackagist | 5.9.0-beta.1 ≤ v < 5.9.11 | 5.9.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.