PT-2026-110927
CVE-2026-109378
·
تاريخ النشر
2026-10-12
·
تاريخ التحديث
2026-10-13
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
SPIP الإصدارات السابقة لـ 4.4.18
Description
يمكن للمهاجمين المصرح لهم تنفيذ هجوم تزوير الطلبات من جانب الخادم (SSRF) عن طريق تقديم عنوان URL خارجي، مثل مستند عن بعد أو موجز موقع مشترك. تكمن المشكلة في الدالة
recuperer url() الموجودة في ecrire/inc/distant.php، والتي تتبع ما يصل إلى 10 عمليات إعادة توجيه دون إعادة التحقق من الأهداف باستخدام الدالة valider url distante(). يسمح هذا بإعادة توجيه الطلبات إلى عناوين داخلية أو عناوين محلية للارتباط، بما في ذلك نقاط نهاية بيانات cloud الوصفية.Recommendations
التحديث إلى الإصدار 4.4.18 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾