PT-2026-138058
CVE-2026-123488
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-07
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Craft CMS الإصدارات من 4.0.0 إلى 4.18.8
Craft CMS الإصدارات من 5.0.0 إلى 5.11.1
Description
توجد ثغرة حقن SQL غير مصادق عليها في نقطة نهاية البحث عن العناصر (element search endpoint). يحدث هذا لأن المعلمة
attribute يتم دمجها في الاستعلام دون تطهير مناسب، وتسمح تحضيرات PDO المحاكات بتنفيذ بيانات متسلسلة. يمكن للمهاجمين عن بُعد القراءة والكتابة في قاعدة البيانات، مما يمكنهم من تعيين علامة المسؤول أو الكتابة فوق هاشات كلمات المرور في جدول المستخدمين للحصول على صلاحيات المسؤول.Recommendations
تحديث Craft CMS الإصدارات من 4.0.0 إلى 4.18.8 إلى الإصدار 4.18.9.
تحديث Craft CMS الإصدارات من 5.0.0 إلى 5.11.1 إلى الإصدار 5.11.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾