PT-2026-1344
CVE-2025-68437
·
تاريخ النشر
2026-01-05
·
تاريخ التحديث
2026-10-07
الوصف من
CVSS 3.1
6.8
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Craft من 5.0.0-RC1 حتى 5.8.20
إصدارات Craft من 4.0.0-RC1 حتى 4.16.16
الوصف
Craft هي منصة لإنشاء تجارب رقمية. تعاني متغيرات GraphQL
save <VolumeName> Asset من ثغرة تسمى تزوير الطلبات من جانب الخادم (SSRF). تنشأ المشكلة عن عدم كفاية التحقق من صحة المعلمة url داخل المدخلات file، مما يسمح للخادم باسترداد محتوى من مواقع بعيدة عشوائية. يمكن للمهاجمين استغلال هذه الثغرة عن طريق تزويد عناوين IP داخلية أو نقاط نهاية لبيانات تعريف السحابة كقيمة url، مما يدفع الخادم إلى إرسال طلبات إلى خدمات محظورة. ثم يتم حفظ المحتوى المسترد كأصل، مما قد يؤدي إلى كشف البيانات واختراق البنية التحتية. يتطلب الاستغلال أذونات GraphQL محددة لإدارة الأصول في المجلد المستهدف. المعلمة المعرضة للخطر هي url.التوصيات
قم بالتحديث إلى الإصدار 5.8.21 من Craft.
قم بالتحديث إلى الإصدار 4.16.17 من Craft.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾