BDU:2021-04646 (CVE-2020-36389)

Уязвимость формы конфигурации CKEditor веб-системы отслеживания связей и управления взаимодействием CiviCRM, связанная с подделкой межсайтовых запросов, позволяющая нарушителю оказать воздействие на целостность данных

Опубликовано: 2021-09-20

Описание

Уязвимость формы конфигурации CKEditor веб-системы отслеживания связей и управления взаимодействием CiviCRM связана с подделкой межсайтовых запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (8)Debian GNU/Linux (10)CiviCRM (до 5.27.5)CiviCRM (до 5.28.1)

Способ устранения

Для CiviCRM:
использование рекомендаций производителя: https://civicrm.org/advisory/civi-sa-2020-11-csrf-ckeditor-configuration-form

Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2020-36389

Оценка CVSS

Балл	4.3 — средняя опасность

Источники и патчи

https://civicrm.org/advisory/civi-sa-2020-11-csrf-ckeditor-configuration-form https://nvd.nist.gov/vuln/detail/CVE-2020-36389 https://security-tracker.debian.org/tracker/CVE-2020-36389 https://blog.sonarsource.com/civicrm-code-execution-vulnerability-chain-explained/

Проверьте безопасность своего сайта и почты → Полная проверка домена