PT-2026-122241
CVE-2026-115935
·
تاريخ النشر
2026-10-23
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Craft CMS (إصدارات متأثرة غير محددة)
الوصف
يقبل الإجراء
app/process-api-response-headers رؤوس استجابة API مزيفة من أي مستخدم مصادق عليه في لوحة التحكم. يمكن للمستخدم غير المسؤول الذي يمتلك صلاحيات accessCp تنفيذ حقن CRLF (إدخال أحرف سطر جديد) عبر رأس X-Craft-Plugin-Licenses. نظرًا لأن التطبيق يكتب هذه القيمة في ملف .env دون إزالة أسطر السطر الجديد، يمكن للمهاجم إدخال CRAFT SECURITY KEY معروفة. بمجرد تحميل هذا المفتاح، يمكن للمهاجم تزوير إعادة توجيه تسجيل دخول موقعة تنفذ استدعاء system() الخاص بـ Twig، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾