PT-2026-36485
CVE-2026-37504
·
تاريخ النشر
2026-05-01
·
تاريخ التحديث
2026-05-11
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات V2Board الأقدم من 1.7.5
الوصف
يتم قبول رمز مصادقة الخادم عبر معلمة GET في الملف
app/Http/Controllers/Server/UniProxyController.php. يؤدي ذلك إلى كشف الرمز في عناوين URL، مثل نقطة النهاية ”/api/v1/server/UniProxy/user“ من خلال المتغير token. ونتيجة لذلك، قد يتم تسجيل المعلومات الحساسة في سجل تصفح المتصفح، وسجلات الوصول إلى خادم الويب، ورؤوس HTTP Referer، وسجلات الوكيل أو شبكة توزيع المحتوى (CDN). يمكن للمهاجم الذي لديه وصول إلى هذه السجلات استخراج الرمز لانتحال صفة عقدة خادم وكيل وربما اعتراض حركة مرور المستخدم.التوصيات
قم بالتحديث إلى إصدار أحدث من 1.7.4.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية ”/api/v1/server/UniProxy/user“ على عناوين IP الموثوقة لتقليل مخاطر الكشف عن الرمز المميز في السجلات.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾