PT-2026-110564 · Moxi624 · Mogu Blog

Yaqi Chao

·

CVE-2026-109175

·

تاريخ النشر

2026-10-12

·

تاريخ التحديث

2026-10-12

CVSS v3.1

4.3

متوسطة

المتجهAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة MoguBlog الإصدارات السابقة لـ 6.3
الوصف تحدث ثغرة المرجع المباشر غير الآمن للكائنات عندما يوفر التطبيق وصولاً مباشرًا إلى الكائنات بناءً على مدخلات المستخدم. يمكن للمسؤولين المصرح لهم إدراج ملفات القرص الشبكي التابعة لمسؤولين آخرين عبر نقطة النهاية 'POST /networkDisk/getFileList'. يقوم النظام بتصفية الطلبات حسب الحالة أو نوع الملف أو filePath ولكنه لا يقوم بالتصفية حسب admin uid مما يسمح للمهاجمين بالحصول على أسماء الملفات وروابط التنزيل الخاصة بمسؤولين آخرين.
التوصيات تحديث MoguBlog إلى إصدار أحدث من 6.2. تقييد الوصول إلى نقطة النهاية 'POST /networkDisk/getFileList' لمنع إدراج الملفات غير المصرح به.

استغلال

إصلاح

IDOR

وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
dbugs@ptsecurity.com

تصنيف نقاط الضعف

CWE-639

المعرّفات ذات الصلة

CVE-2026-109175

المنتجات المتأثرة

Mogu Blog