CVE-2026-54614
Açıklama
DebugKit, CakePHP uygulamaları için bir hata ayıklama araç çubuğu sağlar. 4.10.3 ve 5.2.4 sürümlerinden önce, src/Controller/MailPreviewController.php dosyasındaki DebugKit MailPreview özelliği, findPreview içinde rota kontrollü bir previewName değeri kabul eder ve App::className() ile çözümlenen sınıfı; ad alanı ayırıcılarını reddetmeden veya sınıfın DebugKit\Mailer\MailPreview sınıfını genişlettiğini doğrulamadan kurucu metot (constructor) yürütmesine aktarır. Hata ayıklama modu etkinken ve istek ana makine adı yerel veya izin verilenler listesindeyken DebugKit'e erişebilen bir saldırgan, mail-preview önizleme rotası üzerinden istenmeyen bir uygulama sınıfı seçebilir; bu durum rastgele kurucu metot yürütülmesine ve sınırlı uygulama bilgisi ifşasına yol açabilir. Bu sorun 4.10.3 ve 5.2.4 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- cakephp/debug_kit4.10.3, 5.2.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cakephp/debug_kitPackagist | v < 4.10.3, 5.0.0 ≤ v < 5.2.4 | 4.10.3, 5.2.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.