CVE-2026-64960
Açıklama
ATutor Gameme modülü, kullanıcıların herhangi bir tür ve uzantıdaki dosyaları kısıtlama olmaksızın yüklemesine izin vermektedir. Dosya yüklemelerinin uygun şekilde yönetilmemesi nedeniyle, dosyalar içerikleri doğrulanmadan önce web üzerinden erişilebilir bir konumda saklanmaktadır. Geçerli bir course_id bilen kimliği doğrulanmış bir saldırgan, sunucuda yürütülebilir kötü amaçlı bir betik yükleyebilir. Yüklenen dosya daha sonra HTTP üzerinden talep edilebilir ve bu durum, web sunucu işlem kullanıcısı olarak uzaktan kod çalıştırılmasıyla sonuçlanır. Çoğu durumda, genellikle genel bağlamı temsil ettiği için course_id=0 kullanılabilir. Ürün artık aktif olarak desteklenmemektedir ve güvenlik açıkları giderilmemiştir. Sadece sürüm 2.2.4 test edilmiş ve savunmasız olduğu onaylanmıştır; diğer sürümler test edilmemiştir ancak onlar da savunmasız olabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ATutor ATutor | 2.2.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.