CVE-2026-55562
Açıklama
Cronicle, web tabanlı bir ön uç kullanıcı arayüzüne sahip çok sunuculu bir görev zamanlayıcı ve yürütücüsüdür. 0.9.119 sürümünden önce, htdocs/js/pages/admin/Activity.js dosyasındaki yönetici Etkinlik Günlüğü, saldırgan tarafından kontrol edilen item.user.full_name değerini encode_entities uygulamadan HTML ile birleştirir ve sonucu this.div.html aracılığıyla ekler. Paketle birlikte gelen pixl-server-user girdi filtresi, düzenli ifadesi yeni satırlarla eşleşmediği için satır sonu içeren bir etiketle atlatılabilir. Kimliği doğrulanmış ancak yönetici olmayan bir kullanıcı, geçerli bir oturum ve mevcut şifre kullanarak /api/user/update üzerinden kendi adını güncelleyebilir; free_accounts etkin olduğunda ise anonim bir saldırgan bu adı kayıt sırasında yerleştirebilir. Kaydedilen isim, Etkinlik Günlüğü açıldığında yöneticinin oturumunda betik çalıştırarak yönetici hesabının ele geçirilmesine ve ardından ayrıcalıklı Cronicle özellikleri aracılığıyla komut çalıştırılmasına olanak tanır. Bu sorun 0.9.119 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jhuckaby Cronicle | < 0.9.119 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.