CVE-2026-56384
Açıklama
Craft CMS, assets/preview-thumb uç noktasında eksik yetkilendirme zafiyeti içermektedir. Hedef özel varlığı görüntüleme izni olmayan bir Kontrol Paneli kullanıcısı, saldırgan tarafından kontrol edilen bir assetId ile bu uç noktayı çağırabilir ve önizleme oluşturulmadan önce herhangi bir varlık görüntüleme izin kontrolü yapılmadığı için söz konusu özel varlığa ait imzalı bir yedek dönüştürme önizleme bağlantısını içeren önizleme HTML'ini alabilir. Bu durum >= 4.0.0-RC1, <= 4.17.7 ve >= 5.0.0-RC1, <= 5.9.13 sürümlerini etkilemekte olup 4.17.8 ve 5.9.14 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- craftcms/cms4.17.8, 5.9.14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms/cmsPackagist | 4.0.0-RC1 ≤ v < 4.17.8, 5.0.0-RC1 ≤ v < 5.9.14 | 4.17.8, 5.9.14 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.