PT-2026-22948
CVE-2026-28696
·
تاريخ النشر
2026-03-03
·
تاريخ التحديث
2026-03-04
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Craft الأقدم من 4.17.0-beta.1 والإصدارات الأقدم من 5.9.0-beta.1
الوصف
Craft هو نظام لإدارة المحتوى (CMS) يحتوي على ثغرة في توجيه GraphQL
@parseRefs. يمكن استغلال هذه التوجيهية، المصممة لتحليل علامات المرجع الداخلية، من قبل كل من المستخدمين المصادق عليهم والضيوف غير المصادق عليهم (عندما يكون المخطط العام (Public Schema) ممكّنًا) للوصول إلى السمات الحساسة لأي عنصر داخل نظام إدارة المحتوى. لا يحتوي تنفيذ Elements::parseRefs على أي عمليات تحقق من التفويض، مما يسمح للمهاجمين بقراءة البيانات التي لا يملكون إذنًا للوصول إليها. تسمح هذه الثغرة الأمنية بالوصول إلى السمات الحساسة من خلال علامات الإحالة مثل {user:1:email}. وتشمل نواقل الهجوم رفع الامتيازات، وتسريب بيانات المستخدمين، والانعكاس التعسفي للخصائص، وتنفيذ المنطق على جانب الخادم، وIDOR في المدخلات والأصول الخاصة. التوجيه @parseRefs نشط في المخطط العام، مما يسمح بالاستغلال دون مصادقة. يمكن أن يحدث الاستغلال عبر نقاط نهاية واجهة برمجة التطبيقات (API)، مثل نقطة نهاية واجهة برمجة التطبيقات GraphQL /index.php?action=graphql/api، باستخدام أحمال في الاستعلامات. الوظيفة المعرضة للثغرة هي Elements::parseRefs. قد تؤدي هذه الثغرة إلى إفشاء معلومات حرجة، وتسرب معلومات النظام، واحتمال تجاوز المصادقة.التوصيات
الإصدارات الأقدم من 4.17.0-beta.1: قم بتعديل
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾