CVE-2026-53769
Açıklama
Avo, Ruby on Rails uygulamaları için yönetici panelleri oluşturmaya yarayan bir çerçevedir. Versiyon 2.28.0 ile versiyon 3.32.0 öncesi arasında, Avo'nun doğrudan ek yükleme uç noktası sunucu tarafı yükleme yetkilendirmesine sahip değildir ve upload_{FIELD_ID}? gibi belgelenmiş alan düzeyindeki yükleme politikası yöntemlerini atlar. Avo ek yükleme uç noktasına erişebilen kimliği doğrulanmış bir Avo kullanıcısı; hem update? hem de upload_<field>? politikaları işlemi reddettiğinde bile, çözümlenmiş bir kayıtta ikili içerik, dosya adı ve içerik türü meta verileri dahil olmak üzere ek içeriğini değiştirebilir veya yeni içerik ekleyebilir. Bu durum öncelikle, yönetici olmayan veya kısıtlı operatör kullanıcılarının Avo'ya erişebildiği ve kayıt başına veya alan başına işlemlerin politikalar tarafından zorunlu kılınmasının beklendiği çok rollü Avo Pro/Advanced tarzı dağıtımları etkilemektedir. Bu sorun versiyon 3.32.0 ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| avo-hq avo | >= 2.28.0, < 3.32.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.