PT-2026-118340 · Dokuwiki · Dokuwiki
CVSS v3.1
7.5
عالية
| المتجه | AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H |
اسم البرنامج المصاب والإصدارات المتأثرة
DokuWiki الإصدارات السابقة لـ 2026-07-14c
Description
توجد مشكلة حقن كائنات PHP في الدالة
Draft::getDraftText(). يقوم البرنامج بتمرير محتويات ملفات المسودات إلى الدالة unserialize() دون تقييد الفئات المسموح بها. يمكن للمستخدمين المصرح لهم والذين يملكون حقوق التحرير استغلال حالة سباق (race condition) أثناء عمليات إعادة كتابة المسودات المتزامنة لدمج بيانات متسلسلة. يسمح هذا باستحضار أدوات (gadgets) مثل MemoryIndex أو Installer مما قد يؤدي إلى كتابة ملفات عشوائية، أو حذف ملفات، أو تنفيذ رموز عن بُعد. في بعض التكوينات، قد يكون هذا ممكناً دون الحاجة إلى مصادقة.Recommendations
تحديث DokuWiki إلى الإصدار 2026-07-14c أو إصدار أحدث.
استغلال
إصلاح
RCE
Deserialization of Untrusted Data
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Dokuwiki