CVE-2026-66748
Açıklama
Camaleon CMS 2.1.1 ile 2.9.1 sürümleri arası, custom_fields yönetim iznine sahip kullanıcıların select_eval özel alan türü aracılığıyla kötü niyetli bir ifade sağlayarak rastgele Ruby kodu çalıştırmasına olanak tanıyan kimlik doğrulaması gerektiren bir uzaktan kod çalıştırma güvenlik açığı içerir. Saldırganlar, saldırgan tarafından kontrol edilen bir Ruby ifadesini alan seçeneklerindeki command parametresinde saklayabilir; bu ifade, bir gönderi düzenleme sayfası her oluşturulduğunda bir ERB görünümü içinde instance_eval aracılığıyla değerlendirilir ve web sunucusu süreci ayrıcalıklarıyla sunucu tarafında kod çalıştırma elde edilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| owen2345 camaleon-cms | 2.1.1 ≤ v ≤ 2.9.1, 2.9.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.