PT-2026-135827
CVE-2026-86596
·
تاريخ النشر
2026-11-02
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
s2Member الإصدارات السابقة لـ 260928
Description
يمكن للمهاجمين المصرح لهم الذين لديهم وصول بمستوى مخصص أو أعلى تنفيذ رمز عن بُعد على الخادم. تكمن المشكلة في معالجة قالب بريد IPN بسبب عدم كفاية التطهير في الدالة
strip php tags deep()، والتي تقوم فقط بإزالة تسلسلات '<?' الحرفية. تقوم عملية تنظيف العناصر النائبة بعد الاستكمال لاحقاً بإعادة تجميع فاتحة '<?php' صالحة بعد تضمين القيمة التي يتحكم فيها المهاجم في قالب البريد الإلكتروني. وهذا يسمح بحقن رمز PHP عبر المعلمة item name.Recommendations
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾