PT-2026-110565 · Moxi624 · Mogu Blog

Yaqi Chao

·

CVE-2026-109176

·

تاريخ النشر

2026-10-12

·

تاريخ التحديث

2026-10-12

CVSS v3.1

5.4

متوسطة

المتجهAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L
اسم البرنامج المصاب والإصدارات المتأثرة MoguBlog الإصدارات السابقة لـ 6.3
Description تحدث ثغرة المرجع المباشر غير الآمن للكائنات عندما يوفر التطبيق وصولاً مباشرًا إلى الكائنات بناءً على مدخلات المستخدم. يمكن للمسؤولين المصرح لهم حذف ملفات مسؤولين آخرين عبر نقاط النهاية "/networkDisk/deleteFile" و "batchDeleteFile". يحدث هذا لأن الدالة deleteFile() في NetworkDiskServiceImpl لا تتحقق من uid الملف أو المجلد مقابل admin uid الخاص بطلب المستخدم، مما يسمح بإزالة الكائنات المخزنة من التخزين المحلي أو Qiniu أو MinIO.
Recommendations تحديث MoguBlog إلى إصدار أحدث من 6.2. تقييد الوصول إلى نقاط النهاية "/networkDisk/deleteFile" و "batchDeleteFile" لتقليل مخاطر حذف الملفات غير المصرح به.

استغلال

إصلاح

IDOR

وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
dbugs@ptsecurity.com

تصنيف نقاط الضعف

CWE-639

المعرّفات ذات الصلة

CVE-2026-109176

المنتجات المتأثرة

Mogu Blog