CVE-2026-44377
Açıklama
CubeCart bir e-ticaret yazılım çözümüdür. 6.7.0 sürümünden önce, CubeCart'ın birden fazla modülünde (Email Templates ve Documents dahil) Kimliği Doğrulanmış Sunucu Taraflı Şablon Enjeksiyonu (SSTI) zafiyeti bulunmaktadır. Uygulama, kullanıcı tarafından sağlanan girdileri doğrudan Smarty şablon motoru aracılığıyla güvenli olmayan bir şekilde değerlendirmektedir. Yönetici ayrıcalıklarına sahip kimliği doğrulanmış bir saldırgan bunu kullanarak mevcut kısıtlamaları atlayabilir ve hassas yapılandırma dosyalarını okumak için readgzfile() veya kötü amaçlı bir PHP web shell yazmak için error_log() gibi yerel PHP fonksiyonlarını şablonlar içinde çağırabilir; bu durum nihayetinde Bilgi İfşasına ve tam Uzaktan Kod Çalıştırmaya (RCE) yol açar. Bu zafiyet 6.7.0 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cubecart v6 | < 6.7.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.