Średnia

eZ Publish Legacy Cross-site Scripting (XSS) in 'disabled module' error template

Ujawniono: 15.05.2024
Aktualizacja: 11.10.2026 10:22

This security advisory fixes a vulnerability in eZ Publish Legacy, and we recommend that you install it as soon as possible if you are using Legacy via the LegacyBridge.

Installations where all modules are disabled may be vulnerable to XSS injection in the module name. This is a rare configuration, but we still recommend installing the update, which adds the necessary input washing.

To install, use Composer to update to one of the "Resolving versions" mentioned above, or apply this patch manually: https://github.com/ezsystems/ezpublish-legacy/commit/4697bff700e8cf95d5847ea19dad3479a77b02d9

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	ezsystems/ezpublish-legacy	>= 2018.9.0, < 2018.9.1.2, >= 2018.6.0, < 2018.6.1.3, >= 2011.0.0, < 2017.12.4.2, >= 5.4.0, < 5.4.12.2, >= 5.3.0, < 5.3.12.5	2018.9.1.2, 2018.6.1.3, 2017.12.4.2, 5.4.12.2, 5.3.12.5

Odnośniki

Ocena CVSS -

Słabość (CWE): CWE-79
Platforma: Composer
Paczka: ezsystems/ezpublish-legacy
Ujawniono: 15.05.2024
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-2vh3-cj9j-mcj5 - CC BY 4.0

Historia podatności: ezsystems/ezpublish-legacy

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (11) w archiwum

Wszystkich wpisów: 11
Pierwsza → ostatnia: 09.2021 05.2026
Bez poprawki: 1
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Wysoka 6
Średnia 4

Ujawnienia w latach

2021: 1
2022: 2
2023: 0
2024: 7
2025: 0
2026: 1

29.05.2026

ezsystems/ezpublish-legacy has a SQL injection in dfscleanup

Wysoka · 7.1 CVE-2026-38739 = 2019.03 brak poprawki
15.05.2024

EZsystems Remote code execution in file uploads

Wysoka ghsa-9895-26wr-4fgv >= 2019.3.0, < 2019.3.4.2, >= 2017.12.0, < 2017.12.7.2, >= 5.4.0, < 5.4.14.1 2019.3.4.2, 2017.12.7.2, 5.4.14.1
15.05.2024

eZ Publish Legacy Passwordless login for LDAP users

Wysoka ghsa-p9mp-vq4v-v5m5 >= 2018.9.0, < 2018.9.1.1, >= 2018.6.0, < 2018.6.1.2, >= 2011.0.0, < 2017.12.4.1, >= 5.4.0, < 5.4.12.1, >= 5.3.0, < 5.3.12.4 2018.9.1.1, 2018.6.1.2, 2017.12.4.1, 5.4.12.1, 5.3.12.4
15.05.2024

eZ Publish Legacy Cross-site Scripting (XSS) in 'disabled module' error template ten wpis

Średnia ghsa-2vh3-cj9j-mcj5 >= 2018.9.0, < 2018.9.1.2, >= 2018.6.0, < 2018.6.1.3, >= 2011.0.0, < 2017.12.4.2, >= 5.4.0, < 5.4.12.2, >= 5.3.0, < 5.3.12.5 2018.9.1.2, 2018.6.1.3, 2017.12.4.2, 5.4.12.2, 5.3.12.5
15.05.2024

eZ Publish Legacy Patch EZSA-2018-001 for Several vulnerabilities

Wysoka ghsa-82rv-45pc-v28w >= 2011.0.0, < 2017.12.2.1, >= 5.4.0, < 5.4.11.3, >= 5.3.0, < 5.3.12.3 2017.12.2.1, 5.4.11.3, 5.3.12.3
15.05.2024

eZ Publish Information disclosure in backend content tree menu

Wysoka ghsa-cc2j-92jq-wgjg >= 2011.0.0, < 2017.8.1.1, >= 5.4.0, < 5.4.10.1, >= 5.3.0, < 5.3.12.2 2017.8.1.1, 5.4.10.1, 5.3.12.2
24.05.2022

eZ Publish Kernel and Legacy Unrestricted Upload of File with Dangerous Type

Krytyczna · 9.8 CVE-2020-10806 < 5.4.14.1, >= 2017, < 2017.12.7.2, >= 2019, < 2019.03.4.2 5.4.14.1, 2017.12.7.2, 2019.03.4.2
07.09.2021

Content object state fetch functions open to SQL injection

Wysoka ghsa-jpwx-ffjq-wr4w >= 2018.06.0, < 2019.03.6.1, < 2017.12.7.4 2019.03.6.1, 2017.12.7.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację