CVE-2026-34384
Açıklama
Admidio açık kaynaklı bir kullanıcı yönetim çözümüdür. Versiyon 5.0.8 öncesinde, modules/registration.php dosyasındaki create_user, assign_member ve assign_user işlem modları, bekleyen kullanıcı kayıtlarını bir CSRF belirteci doğrulamadan GET isteği aracılığıyla onaylamaktadır. Aynı dosyadaki (belirteci doğru şekilde doğrulayan) delete_user modunun aksine, bu üç onay işlemi parametrelerini $_GET üzerinden okumakta ve herhangi bir koruma olmaksızın geri döndürülemez durum değişiklikleri gerçekleştirmektedir. Bekleyen bir kayıt başvurusu yapmış olan bir saldırgan, kendi kullanıcı UUID değerini kayıt onay e-postası URL'sinden çıkarabilir ve ardından rol_approve_users yetkisine sahip herhangi bir kullanıcıyı, kaydı otomatik olarak onaylayan hazırlanmış bir URL'yi ziyaret etmesi için kandırabilir. Bu durum, manuel kayıt onay iş akışını tamamen devre dışı bırakmaktadır. Bu sorun versiyon 5.0.8 ile düzeltilmiştir.
Nasıl düzeltilir
- admidio admidio5.0.8 ya da sonraki bir sürüm
- admidio/admidio5.0.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| admidio admidio | v < 5.0.8 | 5.0.8 |
| admidio/admidioPackagist | v < 5.0.8 | 5.0.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.