CVE-2026-45053
Açıklama
CubeCart bir e-ticaret yazılım çözümüdür. 6.7.0 sürümünden önce, CubeCart'ın REST API Dosya Yöneticisi uç noktasında (POST /api/v1/files) Kimliği Doğrulanmış Keyfi Dosya Yükleme zafiyeti bulunmaktadır. Bu uç nokta, files:rw iznine sahip herhangi bir API anahtarı sahibinin, web sunucusu tarafından çalıştırıldıkları web üzerinden erişilebilir images/source/ dizinine PHP kaynak dosyaları yüklemesine izin verir. Aynı uç noktanın filepath parametresindeki bir yol aşımı (path-traversal) hatasıyla birleştiğinde, tek bir API isteği, doküman kök dizini de dahil olmak üzere web sunucusu işleminin yazabildiği herhangi bir yere bir webshell yazar ve bu durum tam Uzaktan Kod Çalıştırma ile sonuçlanır. Bu zafiyet 6.7.0 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cubecart v6 | < 6.7.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.