Xananasx7

Dolibarr before 23.0.4 contains a PHP object injection vulnerability in jsonOrUnserialize() in functions.lib.php, which calls unserialize() without class restrictions when json decode() fails. Attackers able to write stored extrafields, export configurations or blocked log entries can plant serialized objects that trigger gadget chains for code execution or file manipulation.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Concrete CMS الأقدم من 9.5.2 **الوصف** يحدث حقن كائنات PHP بسبب عملية إزالة التسلسل غير الآمنة داخل مكونات «الأذونات» و«ذاكرة التخزين المؤقت» و«البحث». تستخدم هذه المكونات الدالة `unserialize()` على البيانات المخزنة دون تقييد الفئات المسموح بها. يمكن لمهاجم غير مصدق أن يؤدي إلى إنشاء مثيلات كائنات PHP عشوائية إذا تم وضع حمولة خبيثة مُسلسلة في قاعدة البيانات، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد. تتطلب هذه العملية أن يتمتع المهاجم بامتيازات عالية لكتابة البيانات الخبيثة المُسلسلة إلى المخزن ذي الصلة. **التوصيات** الترقية إلى الإصدار 9.5.2 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Concrete CMS الأقدم من 9.5.2 **الوصف** يحدث حقن كائنات PHP بسبب استخدام استدعاءات `unserialize()` داخل مكونات Workflow و Form block و File/Set التي لا تطبق قيد `allowed classes`. وهذا يسمح لمهاجم غير مصدق عليه بتشغيل إنشاء مثيلات كائنات PHP عشوائية في حالة وجود حمولة مسلسلة ضارة في قاعدة البيانات. **التوصيات** التحديث إلى الإصدار 9.5.2 أو أحدث.