PT-2025-16040
CVE-2025-31014
·
تاريخ النشر
2025-04-09
·
تاريخ التحديث
2025-04-16
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
ho3einie Material Dashboard الإصدارات 1.4.5 والإصدارات الأقدم
الوصف:
تتعلق المشكلة بعدم التحكم السليم في اسم الملف في عبارة include/require بلغة PHP، والمعروفة أيضًا باسم «تضمين الملفات عن بُعد في PHP» (PHP Remote File Inclusion)، مما يسمح بـ«تضمين الملفات المحلية في PHP» (PHP Local File Inclusion). وهذا يعني أن المهاجم قد يتمكن من تضمين ملفات محلية على الخادم وتنفيذها، مما يؤدي إلى وصول غير مصرح به أو تنفيذ تعليمات برمجية.
التوصيات:
بالنسبة للإصدارات 1.4.5 والإصدارات الأقدم، يُنصح بتعطيل وظيفة include/require حتى يتوفر تصحيح، أو تقييد الوصول إلى الملفات والدلائل الحساسة لتقليل مخاطر الاستغلال. كحل مؤقت، تجنب استخدام المدخلات التي يقدمها المستخدم لمتغيرات
filename في عبارات include/require. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾