CVE-2026-72783
Açıklama
Craft CMS'in 5.10.6 öncesindeki >= 5.0.0-RC1 ve 4.18.2 öncesindeki >= 4.0.0-RC1 sürümleri, Local dosya sistemi sınıfının ensurePathIsContained fonksiyonunda teorik bir path traversal zafiyeti içermektedir. İşlem sırası, yolu normalleştirmeden önce doğruladığından, normalleştirme işlemi önceki doğrulama varsayımlarını geçersiz kılabilir (desanitization tarzı bir sorun) ve potansiyel olarak hedeflenen hacim dizininin dışındaki dosyaların çözümlenmesine yol açabilir. Satıcı, sorunun doğrudan istismar edilemediğini ve herhangi bir istismar senaryosunun keşfedilmediğini belirtmiş olup, düzeltmenin sistem sıkılaştırması için önerildiği bildirilmiştir.
Nasıl düzeltilir
- craftcms/cms5.10.6, 4.18.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| craftcms/cmsPackagist | 5.0.0-RC1 ≤ v < 5.10.6, 4.0.0-RC1 ≤ v < 4.18.2 | 5.10.6, 4.18.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.