PT-2025-47158
CVE-2025-63748
·
تاريخ النشر
2025-11-17
·
تاريخ التحديث
2025-11-26
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
QaTraq الإصدار 6.9.2
الوصف
يسمح الإصدار 6.9.2 من QaTraq للمستخدمين المسجلين بتحميل ملفات عشوائية عبر ميزة ”Add Attachment“ داخل وحدة ”Test Script“. لا يفرض التطبيق أي قيود على أنواع الملفات، مما يسمح بتحميل ملفات PHP القابلة للتنفيذ. وبمجرد تحميلها، يمكن الوصول إلى هذه الملفات عبر خيار «View Attachment»، مما يؤدي إلى تنفيذ الحمولة (payload) PHP على الخادم. تكمن الوظيفة المعرضة للثغرة الأمنية في وحدة «Test Script»، وتحديدًا في عملية تحميل الملفات. وتعتبر ميزة «Add Attachment» عرضة لهذه المشكلة. يمكن الوصول إلى الملفات التي تم تحميلها من خلال خيار «View Attachment».
التوصيات
QaTraq الإصدار 6.9.2: كإجراء تجنبي مؤقت، يُنصح بتقييد الوصول إلى الوحدة النمطية «Test Script» لتقليل مخاطر الاستغلال.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾