CVE-2026-63002
Açıklama
REDAXO, PHP tabanlı bir içerik yönetim sistemidir. 5.21.2 sürümünden önce, redaxo/src/addons/mediapool/pages/sync.php dosyası, medya dosya sistemindeki $diffFiles değişkeninde tutulan dosya adlarını rex_escape() kullanmadan Mediapool Sync sayfasına eklemektedir. Medya dizinine HTML meta karakterleri içeren kayıt dışı bir dosya yerleştirebilen bir saldırgan, media[sync] yetkisine sahip bir arka uç kullanıcısı Sync sayfasını açtığında, o kullanıcının tarayıcısında betik çalıştırabilir; bu durum oturum çalınmasına veya yetkisiz arka uç işlemlerine olanak tanır. Bu sorun 5.21.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- redaxo redaxo5.21.2 ya da sonraki bir sürüm
- redaxo/source5.21.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redaxo redaxo | v < 5.21.2 | 5.21.2 |
| redaxo/sourcePackagist | v < 5.21.2 | 5.21.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.