PT-2026-22997
CVE-2026-28784
·
تاريخ النشر
2026-03-03
·
تاريخ التحديث
2026-03-05
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Craft الأقدم من 5.8.22
إصدارات Craft الأقدم من 4.16.18
الوصف
برنامج Craft، وهو نظام لإدارة المحتوى (CMS)، معرض لخطر التنفيذ البعيد للكود (RCE) من خلال ثغرة أمنية تتعلق بحقن القوالب من جانب الخادم (SSTI). يمكن إنشاء حمولة ضارة باستخدام مرشح
map الخاص بـ Twig في حقول النص التي تقبل إدخال Twig. ويمكن القيام بذلك في قسم «الإعدادات» بلوحة تحكم Craft أو من خلال أداة «رسائل النظام». للاستغلال بنجاح، يجب أن يتمتع المهاجم بحق وصول إداري إلى لوحة تحكم Craft مع تمكين الإعداد allowAdminChanges، أو أن يكون لديه حساب غير إداري مع تعطيل الإعداد allowAdminChanges، ولكن مع إمكانية الوصول إلى أداة «رسائل النظام». يتحكم الإعداد allowAdminChanges في ما إذا كان بإمكان المستخدمين غير الإداريين تعديل الإعدادات داخل لوحة تحكم Craft.التوصيات
يجب تحديث إصدارات Craft الأقدم من 5.8.22 إلى الإصدار 5.8.22.
يجب تحديث إصدارات Craft الأقدم من 4.16.18 إلى الإصدار 4.16.18.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾