PT-2025-42535
CVE-2025-62416
·
تاريخ النشر
2025-10-16
·
تاريخ التحديث
2025-10-16
الوصف من
CVSS 3.1
6.8
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Bagisto الأقدم من 2.3.8
الوصف
يُعتبر Bagisto عرضة لـ «حقن القوالب من جانب الخادم» (SSTI) لأن المدخلات التي يقدمها المستخدم لا يتم تنقيتها بشكل صحيح عند معالجة أوصاف المنتجات باستخدام محرك القوالب من جانب الخادم. يمكن للمهاجم الذي يمتلك صلاحيات إنشاء المنتجات حقن تعبيرات القوالب التي يقوم الخادم الخلفي بتقييمها، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE). يتم تمرير حقل وصف المنتج إلى العرض دون تعقيم أو هروب مناسب، مما يسمح لبيانات المستخدم بتنفيذ تعليمات برمجية تعسفية من القوالب. قد يتيح الاستغلال الناجح للمهاجمين تنفيذ تعليمات برمجية PHP تعسفية أو أوامر النظام، وقراءة متغيرات البيئة الحساسة، أو مفاتيح واجهة برمجة التطبيقات (API)، أو بيانات اعتماد قاعدة البيانات، وتشويه التطبيق، أو إرساء استمرارية، أو تصعيد الامتيازات.
التوصيات
قم بالتحديث إلى الإصدار 2.3.8 أو أعلى من Bagisto.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾