CVE-2023-36825
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
W pakiecie Orchid, używanym do tworzenia aplikacji back-office, występuje podatność związana z deserializacją nieufnych danych z parametru zapytania `_state`. Może to prowadzić do zdalnego wykonania kodu. Problem został rozwiązany w wersji 14.5.0.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla bezpieczeństwa aplikacji, umożliwiając atakującym zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację oprogramowania do wersji 14.5.0 lub nowszej, która zawiera poprawkę. Brak znanych obejść.
Oryginalny opis (angielski, źródło NVD)
Orchid is a Laravel package that allows application development of back-office applications, admin/user panels, and dashboards. A vulnerability present starting in version 14.0.0-alpha4 and prior to version 14.5.0 is related to the deserialization of untrusted data from the `_state` query parameter, which can result in remote code execution. The issue has been addressed in version 14.5.0. Users are advised to upgrade their software to this version or any subsequent versions that include the patch. There are no known workarounds.