GHSA-955r-x9j8-7rhh: Picklescan RCE Vulnerability ≤0.0.9

CVE-2024-1247 Concrete CMS के 9.2.5 से पहले के संस्करणों को प्रभावित करता है, जिससे संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता उत्पन्न होती है। यह भेद्यता उपयोगकर्ता भूमिका प्रबंधन में “भूमिका नाम” फ़ील्ड में मौजूद है। एक दुर्भावनापूर्ण व्यवस्थापक इस फ़ील्ड में दुर्भावनापूर्ण कोड इंजेक्ट कर सकता है, जो तब निष्पादित होगा जब अन्य उपयोगकर्ता प्रभावित पृष्ठों पर जाएँगे। इस समस्या की गंभीरता मध्यम है, क्योंकि इसका शोषण करने के लिए व्यवस्थापक विशेषाधिकारों की आवश्यकता होती है, लेकिन इसका प्रभाव अन्य उपयोगकर्ताओं के ब्राउज़र में दुर्भावनापूर्ण स्क्रिप्ट के निष्पादन का कारण बन सकता है, जिससे जानकारी की गोपनीयता और अखंडता से समझौता हो सकता है। इस जोखिम को कम करने के लिए 9.2.5 या उच्चतर संस्करण में अपग्रेड करना महत्वपूर्ण है। 9 से पहले के संस्करण प्रभावित नहीं हैं।

1. आरक्षित2024-02-06
2. प्रकाशित2024-02-09
3. संशोधित2024-08-01
4. EPSS अद्यतन2026-04-02

CVE-2024-1247 के लिए समाधान सरल है: Concrete CMS को 9.2.5 या उच्चतर संस्करण में अपग्रेड करें। इस अपडेट में “भूमिका नाम” फ़ील्ड में दर्ज किए गए डेटा को सही ढंग से मान्य करने के लिए आवश्यक फिक्स शामिल हैं, जिससे दुर्भावनापूर्ण कोड का इंजेक्शन रोका जा सकेगा। विशेष रूप से उत्पादन वातावरण में, इस अपडेट को जल्द से जल्द लागू करने की सिफारिश की जाती है। इसके अतिरिक्त, मौजूदा उपयोगकर्ता भूमिकाओं की जाँच करें ताकि यह सुनिश्चित किया जा सके कि कोई भूमिका नाम समझौता नहीं किया गया है। किसी भी CMS प्रणाली की सुरक्षा बनाए रखने के लिए नियमित रूप से सुरक्षा पैच लागू करना एक मूलभूत अभ्यास है।