PT-2025-27668
CVE-2025-34076
·
تاريخ النشر
2025-07-02
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
إصدارات Microweber CMS <= 1.2.11
الوصف:
توجد ثغرة أمنية تتعلق بإدراج ملف محلي من قبل مستخدم معتمد، وذلك بسبب الاستخدام غير السليم لواجهة برمجة التطبيقات (API) الخاصة بإدارة النسخ الاحتياطي. يمكن للمستخدمين المعتمدين استغلال نقاط النهاية
/api/BackupV2/upload و/api/BackupV2/download لقراءة ملفات عشوائية من نظام الملفات الأساسي، وذلك عن طريق تحديد مسار ملف مطلق في المعلمة src لطلب التحميل. وهذا يسمح بتسريب الملفات المحلية بسبب عدم كفاية التحقق من صحة المسارات التي يقدمها المستخدم، وعدم كفاية القيود المفروضة على الوصول إلى الملفات ومنطق النسخ الاحتياطي.التوصيات:
بالنسبة لإصدارات Microweber CMS <= 1.2.11، يُنصح بتعطيل نقاط النهاية
/api/BackupV2/upload و/api/BackupV2/download حتى يتوفر تصحيح لمنع استغلال هذه الثغرة. قم بتقييد الوصول إلى واجهة برمجة تطبيقات (API) إدارة النسخ الاحتياطي لتقليل مخاطر الكشف التعسفي عن الملفات. تجنب استخدام المعلمة src في طلب التحميل لمنع تحديد مسارات ملفات مطلقة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾