PT-2025-29947
CVE-2025-54068
·
تاريخ النشر
2025-07-17
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Livewire من 3.0 إلى 3.6.3
الوصف
تسمح مشكلة في عملية «الترطيب» (hydration) الخاصة بتحديثات خصائص المكونات للمهاجمين غير المصادق عليهم بتنفيذ الأوامر عن بُعد (RCE). تحدث هذه الثغرة لأن إطار العمل يفشل في التحقق من حالة المكون المرسلة قبل إزالة تسلسلها، مما يتيح حقن كائنات PHP متسلسلة ضارة عبر طلبات HTTP مصممة خصيصًا. غالبًا ما تستخدم هذه العملية سلاسل أدوات PHPGGC، وهي تسلسلات من فئات PHP شرعية موجودة تُستخدم لتنفيذ تعليمات برمجية عشوائية.
وقد لوحظ استغلال هذه الثغرة في الواقع في حملة سرقة بيانات اعتماد واسعة النطاق أثرت على أكثر من 6,167 تطبيقًا عبر قطاعات مثل التجارة الإلكترونية والرعاية الصحية والخدمات المالية والجهات الحكومية. استخدم المهاجمون برنامج نصي Bash باسم
shoc.enz للبحث عن ملفات .env الحساسة التي تحتوي على كلمات مرور قواعد البيانات ومفاتيح AWS IAM والمفاتيح السرية لـ Stripe وسرقتها. وفي حالات أخرى، تم استغلال الثغرة لتثبيت مواقع WordPress غير مصرح بها لأغراض تحسين محركات البحث غير الأخلاقي (black hat SEO) وإنشاء صفحات البريد العشوائي.التوصيات
تحديث Livewire إلى الإصدار 3.6.4 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾