CVE-2020-11094 in OctoberCMS
要約
〜によって VulDB • 2026年05月27日
October CMSのdebugbarプラグイン（バージョン3.1.0より前）には、有効化されている場合にすべてのリクエスト（セッションデータを含む各リクエストに関連するすべての情報）をログに記録する機能があります。このプラグインが信頼できないユーザーに対して公開されているシステムで有効化された場合、攻撃者がこの機能を使用してアプリケーションに対して行われているすべてのリクエストを閲覧し、それらのリクエストから機密情報を取得する可能性があります。さらに、認証済みユーザーのアカウント乗っ取りが非認証の一般ユーザーによって行われる可能性があり、必要な条件が整えば、攻撃者がシステムへの完全なアクセスを取得できるため、他の多くの潜在的な問題につながる可能性があります。この問題はv3.1.0で修正され、debugbarへのアクセスがすべてのユーザーに対して制限されました。現在、使用可能になるには、特定の権限が明示的に有効化された認証済みバックエンドユーザーである必要があり、保存されたリクエスト情報へのアクセスを可能にする機能は、より制限の厳しい別の権限の背後に配置されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.