内容管理系统中的漏洞打开了未经认实的开发的大门
RavCMS中最近解决的漏洞为未经身份验证的攻击者创建了一种对普希克管理系统的攻击攻击者，以及其他潜在的利用。
临界缺陷，它提出了一个远程代码执行（RCE）风险是由Mehmet Ince发现在上个月的渗透测试期间，随后向客户端和Gravcm的开发人员报告。
缺陷 - 追踪为CVE-2021-21425- 已在2021年4月6日解决，允许安全研究员发布a技术写作他的主要发现。
建议用户升级到GetGrav 1.10.8，本周早些时候修改了软件的修补版本，以防范潜在的PWNAGE。
根据公共数据，大约20,000个网站使用Gravcms，一种基于beplay体育能用吗PHP的开源包。
未经身份验证的开发风险
INECE发现，在早期版本的软件中，未经认真验证的用户可以在不需要任何凭据的情况下执行某些管理控制方法，而不是在Grav Admin插件的编码中的缺陷。
“特定方法执行将导致系统上现有YAML文件的任意yaml文件创建或内容更改，”Ince告诉每日SWbeplay2018官网IG.。
“成功利用该漏洞导致配置更改，例如常规网站信息变更，自定义调度程序作业定义等”。
“由于漏洞的性质，对手可以在Web服务器用户的上下文中更改网页的某些部分，或劫持管理员帐户，或执行操作系统命令。beplay体育能用吗
这漏洞固定在1.10.8版本中。阻止访问“/行政来自不受信任的来源的路径可以作为解决方法应用。
Matias Griese是Core Gravcms团队的开发人员，评论：“管理员1.10.8阻止所描述的攻击，下一个版本应该使得不可能使用文章中描述的方法来找到另一种方式。”
要学习的课程
基于伊斯坦布尔的Ince告诉每日SWbeplay2018官网IG.发现缺陷的发现为其他软件开发人员提供了课程。
“该漏洞的根本原因与Grabcms控制器的方法调用设计有关，”Ince解释说。
“关于命名其中一个方法的一个非常基本的错误使得全面攻击成为可能。换句话说，该类的一种关键方法已通过HTTP可通过HTTP访问，而不会因为基本错误而无法进行身份验证。“
误差说明了对设计软件的“坚实和安全设计架构方法”的重要性，Ince得出结论。
你可能也会喜欢PHP维护者在Git Repo中播种后释放验尸报告
