PT-2025-22961
CVE-2025-48827
·
تاريخ النشر
2025-05-23
·
تاريخ التحديث
2026-03-25
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات vBulletin من 5.0.0 إلى 5.7.5
إصدارات vBulletin من 6.0.0 إلى 6.0.3
الوصف
تسمح هذه الثغرة للمستخدمين غير المصادق عليهم باستدعاء طرق محمية من وحدات التحكم في واجهة برمجة التطبيقات (API) عند تشغيلها على PHP 8.1 أو إصدارات أحدث، كما يتضح من النمط ”/api.php?method=protectedMethod“. وقد تم استغلال هذه الثغرة في الواقع في مايو 2025. تشير التقديرات إلى أن أكثر من 42,500 خدمة قد تكون متأثرة. تنشأ هذه الثغرة الأمنية عن الاستخدام غير الصحيح لـ ReflectionMethod::invoke() من قِبل vBulletin، حيث لم يعد هذا الاستخدام في PHP 8.1+ يحظر الوصول إلى الطرق المحمية بشكل افتراضي. يمكن للمهاجمين تشغيل وظائف داخلية حساسة عن بُعد كانت مخصصة في الأصل لتكون غير قابلة للوصول، والحصول على تنفيذ التعليمات البرمجية على الخادم.
التوصيات
بالنسبة لإصدارات vBulletin من 5.0.0 إلى 5.7.5، يُنصح بتعطيل وحدات التحكم في واجهة برمجة التطبيقات (API) المعرضة للثغرة حتى يتوفر تصحيح.
بالنسبة لإصدارات vBulletin من 6.0.0 إلى 6.0.3، قم بتقييد الوصول إلى نقاط نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر، مثل ”/api.php?method=protectedMethod“، لتقليل مخاطر الاستغلال.
كحل مؤقت، يُنصح بتعطيل الدالة
ReflectionMethod::invoke() حتى يتوفر تصحيح.تجنب استخدام المعلمة
protectedMethod في نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة.قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾