PT-2025-42478
CVE-2025-61543
·
تاريخ النشر
2025-10-16
·
تاريخ التحديث
2025-10-16
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
CraftMyCMS الإصدار 4.0.2.2
الوصف
توجد ثغرة أمنية تتمثل في «حقن رأس المضيف» (Host Header Injection) في وظيفة إعادة تعيين كلمة المرور. يستخدم النظام مباشرةً
$ SERVER[’HTTP HOST‘] لإنشاء روابط إعادة تعيين كلمة المرور التي يتم إرسالها عبر البريد الإلكتروني. يمكن للمهاجم التلاعب برأس المضيف (Host Header) لإرسال روابط إعادة تعيين خبيثة، مما قد يؤدي إلى هجمات التصيد الاحتيالي أو الاستيلاء على الحساب. المعلمة المعرضة للثغرة هي $ SERVER[’HTTP HOST‘].التوصيات
قم بتطبيق تصحيح يقوم بتنقية أو ترميز المتغير
$ SERVER[’HTTP HOST‘] بشكل مناسب قبل استخدامه لإنشاء روابط إعادة تعيين كلمة المرور. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾