CVE-2026-73330
Açıklama
CamaleonCMS 2.9.1, kimliği doğrulanmış yöneticilerin, test_email ayarlar eyleminin email parametresine ERB etiketleri yerleştirerek keyfi komutlar çalıştırmasına olanak tanıyan bir sunucu tarafı şablon enjeksiyonu zafiyeti içermektedir; bu etiketler, bir SMTP reddinin alıcı adresini satır içi bir ERB şablonu olarak işlenen istisna mesajında geri yansıtması durumunda değerlendirilir. Saldırganlar, yönetici ayarları test_email uç noktası üzerinden ERB ifadeleri içeren hazırlanmış bir email parametresi göndererek, Rails satır içi şablon oluşturucusunun saldırgan tarafından kontrol edilen Ruby kodunu yürütmesine neden olabilir ve Rails işlem kullanıcısı olarak keyfi komut çalıştırma sağlayabilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| owen2345 CamaleonCMS | v ≤ 2.9.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.