PT-2025-15421
CVE-2025-30166
·
تاريخ النشر
2025-04-08
·
تاريخ التحديث
2025-11-04
الوصف من
CVSS 3.1
4.8
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
إصدارات Pimcore Admin Classic Bundle الأقدم من 1.7.6
الوصف:
تسمح ثغرة أمنية تتعلق بحقن HTML في Pimcore Admin Classic Bundle للمستخدمين الذين لديهم حق الوصول إلى وظيفة إرسال رسائل البريد الإلكتروني بحقن كود HTML تعسفي في رسائل البريد الإلكتروني المرسلة عبر واجهة الإدارة. قد يؤدي ذلك إلى سرقة ملفات تعريف الارتباط الخاصة بالجلسة وتغيير محتوى الصفحة. توجد المشكلة على وجه التحديد في نقطة النهاية ”/admin/email/send-test-email“ باستخدام طريقة POST، حيث يسمح المعلمة
content بحقن كود HTML تعسفي. وعلى الرغم من حظر حقن كود JavaScript، إلا أن حقن كود HTML لا يزال ممكنًا.التوصيات:
بالنسبة للإصدارات الأقدم من 1.7.6، قم بالتحديث إلى الإصدار 1.7.6 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى نقطة النهاية ”/admin/email/send-test-email“ أو تقييد استخدام المعلمة
content لتقليل مخاطر الاستغلال. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾