Unkn0Wn

اسم البرنامج المعرض للثغرة والإصدارات المتأثرة PHP-Fusion الإصدار 9.03.50 الوصف يحتوي البرنامج على ثغرة أمنية تسمح بتنفيذ التعليمات البرمجية عن بُعد في الدالة `add panel form()`. وهذا يتيح للمهاجمين تنفيذ تعليمات برمجية عشوائية من خلال استخدام الدالة `eval()` مع بيانات غير مُعقمة يتم تلقيها عبر طلبات POST. يحدث الاستغلال عند إرسال معلمات `panel content` مُعدة خصيصًا إلى نقطة النهاية `/panels.php`. نقطة النهاية `/panels.php` هي هدف الهجوم. المعلمة `panel content` هي المتغير المعرض للثغرة المستخدم لحقن كود ضار. التوصيات في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة PHP-Fusion الإصدار 9.03.50 الوصف لا يقوم التطبيق بتنقية مدخلات المستخدم بشكل صحيح قبل عرضها في المتصفح، مما يسمح للمهاجمين بحقن جافا سكريبت تعسفي. يمكن استغلال هذه الثغرة عن طريق إرسال مدخلات مزورة إلى معلمة POST `panel content` في ملف ’'panels.php‘'، مما يؤدي إلى تنفيذ نصوص برمجية ضارة في سياق الموقع المتأثر. التوصيات قم بالتحديث إلى إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.

يحتوي البرنامج على ثغرة أمنية تتعلق بحقن SQL في الملفين ’news.php‘ و'common/lib.php'. يمكن للمهاجمين التلاعب باستعلامات قاعدة البيانات من خلال مدخلات المستخدم غير المُثبتة. وعلى وجه التحديد، فإن المعلمة ’title‘ معرضة لحقن كود SQL ضار، مما قد يسمح للمهاجمين باستخراج أو تعديل محتوى قاعدة البيانات. لا تنطوي هذه الثغرة الأمنية على برمجة عبر المواقع (cross-site scripting).

يحتوي البرنامج على ثغرة أمنية من نوع البرمجة النصية عبر المواقع (XSS) في ملف news.php. تتيح هذه الثغرة للمهاجمين حقن نصوص برمجية ضارة عبر معلمات GET. يمكن للمهاجمين إنشاء عناوين URL ضارة تحتوي على حمولات XSS تستهدف المعلمات `etsu` و`ltsu` لتنفيذ نصوص برمجية تعسفية في متصفحات الضحايا. لا ينطوي هذا على حقن SQL.