PT-2026-146034
CVE-2026-124014
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
XWEB EVO الإصدارات 4.3.0 through 5.8.8
Description
تسمح ثغرة كتابة ملفات تعسفية غير مصرح بها للمهاجمين عن بُعد بتعديل ملف تكوين النظام
/etc/xwebconfig.json. يتم ذلك عن طريق إرسال طلب POST مصمم خصيصًا إلى نقطة النهاية config.lua مع تعيين المعلمة action إلى set. يفشل النظام في إجراء التحقق من الجلسة ويكتب جسم الطلب الخام وغير المصدق في الملف. يمكن للمهاجمين التلاعب بقيم التكوين، مثل حقلي model و plugin أو التسبب في حالة SYSTEM NOT CONFIGURED عبر عمليات action=get و action=set مما يؤدي إلى التلاعب بالتكوين وتعطيل الخدمة.Recommendations
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾