CVE-2026-44828
Açıklama
Qexo, statik bloglar için açık kaynaklı bir çevrimiçi editördür. 4.0.0 ile 4.2.0 sürümleri arasında Qexo, /api/init_step/ uç noktasını init_step_api üzerinden kimlik doğrulama, yetkilendirme veya kurulum tamamlama koruması olmaksızın dışarıya açmaktadır. Genel bir sayfadan elde edilen geçerli bir CSRF belirtecine sahip kimliği doğrulanmamış bir istek sahibi, ilk başlatma adımını gönderebilir ve INIT ayarını sıfırlayarak örneğin yeniden kurulum akışına girmesine neden olabilir. Kurulum yanıtı ve /init/ sayfası, servis kimlik bilgileri dahil olmak üzere kayıtlı PROVIDER yapılandırmasını ön yüz içeriğinde ifşa edebilir. Bu sorun 4.2.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Qexo Qexo | >= 4.0.0, < 4.2.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.