PT-2026-110733 · Grav · Grav Data Manager
CVSS v4.0
6.9
متوسطة
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Grav Data Manager plugin الإصدارات 1.4.0 through 1.4.5
Description
يسمح فقدان التفويض للمهاجمين غير المصرح لهم بحذف ملفات البيانات المخزنة من خلال تكامل Admin الكلاسيكي. من خلال إرسال طلب يحتوي على المعلمة
delete مع نوع بيانات واسم ملف معروفين، يمكن للمهاجمين إزالة الملفات الموجودة تحت user/data/ بما في ذلك نماذج البيانات المرسلة. يحدث هذا بسبب فشل النظام في إجراء فحوصات nonce CSRF (تزوير الطلبات عبر المواقع)، وهي رموز فريدة تُستخدم لمنع تنفيذ الأوامر غير المصرح بها من متصفح المستخدم.Recommendations
تحديث Grav Data Manager plugin إلى إصدار أحدث من 1.4.5.
استغلال
إصلاح
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Grav Data Manager