PT-2026-134258
CVE-2026-110176
·
تاريخ النشر
2026-10-31
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
File Force Download module for Drupal 7 الإصدارات 7.1.0 through 7.1.2
Description
يقوم الموديل بتنفيذ الدالة
hook file download() لإضافة رأس Content-Disposition عندما يحتوي رابط الملف على معامل الاستعلام download. في Drupal 7، يؤدي إرجاع مصفوفة رؤوس غير فارغة من هذا الـ hook إلى منح حق الوصول إلى الملف. فشل الموديل في إجراء فحوصات الوصول للملفات في مخطط temporary:// أو أغلفة التدفق (stream wrappers) المقدمة من موديلات أخرى، حيث كان يفوض تنفيذ hook file download() فقط عندما يكون الملف في المخطط الخاص. وبناءً على ذلك، يمكن لزائر غير مصرح له استرداد هذه الملفات عن طريق إضافة download=1 إلى الرابط، مما يتجاوز ضوابط الوصول المفروضة.Recommendations
تحديث File Force Download module for Drupal 7 إلى إصدار أحدث من 7.1.2.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾