PT-2026-134220
CVE-2026-62990
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
8.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Shopper الإصدارات من 2.0.0 إلى 2.10.0
Shopper الإصدارات من 3.0.0-beta.1 إلى 3.0.0-beta.2
الوصف
يمكن لموظفي المكتب الخلفي المصرح لهم برفع المحتوى تخزين وسائط قابلة للتنفيذ على أصل المسؤول. في إصدار 2.x، تسمح أذونات مثل
edit products أو add brands برفع ملفات image/svg+xml عبر packages/admin/config/media.php. بالإضافة إلى ذلك، تفتقر مجموعة ملفات المنتجات في packages/admin/src/Livewire/Components/Products/Form/Files.php إلى قيود MIME وتقبل ملفات text/html. نظرًا لأن الوسائط يتم تقديمها بشكل مباشر من دليل /storage/ بدون Content-Security-Policy أو Content-Disposition: attachment ، فإن فتح هذه الملفات يؤدي إلى تنفيذ برمجيات مخزنة في جلسة المسؤول. في إصدار 2.x، يمكن استخدام ذلك لاستدعاء دالة store() ضمن packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php ، والتي تثق في role id المقدم من العميل لإنشاء حساب مسؤول جديد بكلمة مرور مختارة. يتيح ذلك للمهاجم الوصول الكامل إلى بيانات العملاء والطلبات والإعدادات وإدارة المستخدمين. في الإصدارات التجريبية 3.x، على الرغم من استبعاد SVG، لا تزال ملفات المنتجات القابلة للتنفيذ مسموحًا بها.التوصيات
تحديث إصدارات Shopper من 2.0.0 إلى 2.10.0 إلى الإصدار 2.10.1.
تحديث إصدارات Shopper من 3.0.0-beta.1 إلى 3.0.0-beta.2 إلى الإصدار 3.0.0-beta.3.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾