PT-2026-21652
CVE-2026-27129
·
تاريخ النشر
2026-01-05
·
تاريخ التحديث
2026-02-25
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Craft من 4.5.0-RC1 حتى 4.16.18
إصدارات Craft من 5.0.0-RC1 حتى 5.8.22
الوصف
Craft هو نظام لإدارة المحتوى (CMS). تستخدم عملية التحقق من صحة SSRF في متغير Asset في GraphQL الخاص بـ Craft CMS دالة
gethostbyname()، التي تقوم بحل عناوين IPv4 فقط. وعندما يحتوي اسم المضيف على سجلات AAAA (IPv6) فقط، فإن الدالة تُرجع سلسلة اسم المضيف نفسها، مما يؤدي إلى تجاوز الحماية ضد SSRF. وهذا يتجاوز تصحيحًا أمنيًا سابقًا. يتطلب استغلال هذه الثغرة أذونات مخطط GraphQL لتحرير الأصول في المجلد VolumeName وإنشاء أصول في المجلد VolumeName. يمكن منح هذه الأذونات للمستخدمين المصادق عليهم الذين يتمتعون بوصول مناسب إلى مخطط GraphQL و/أو المخطط العام (إذا تم تكوينه بشكل غير صحيح مع أذونات الكتابة). المكون المعرض للخطر هو متغير Asset في GraphQL.التوصيات
قم بالتحديث إلى الإصدار 4.16.19 من Craft أو أحدث.
قم بالتحديث إلى الإصدار 5.8.23 من Craft أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾