CVE-2025-47916

اسم البرنامج المعرض للخطر والإصدارات المتأثرة:

إصدارات Invision Community من 5.0.0 إلى 5.0.7

الوصف:

تكمن المشكلة في وحدة التحكم themeeditor، حيث يمكن للمستخدمين غير المصادق عليهم استدعاء طريقة محمية تُسمى customCss. تقوم هذه الطريقة بتمرير قيمة المعلمة content إلى الطريقة Theme::makeProcessFunction()، والتي يتم تقييمها بواسطة آلية القوالب. ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم استغلال هذه الثغرة لحقن وتنفيذ كود PHP تعسفي، من خلال تزويد سلاسل قوالب تم التلاعب بها إلى الملف /applications/core/modules/front/system/themeeditor.php.

التوصيات:

بالنسبة لإصدارات Invision Community من 5.0.0 إلى 5.0.7، قم بالتحديث إلى إصدار أحدث من 5.0.7 لحل المشكلة.

كحل مؤقت، ضع في اعتبارك تعطيل الأسلوب customCss في وحدة التحكم themeeditor حتى يتوفر تصحيح.

قم بتقييد الوصول إلى وحدة التحكم themeeditor لتقليل مخاطر الاستغلال.