PT-2026-38286
CVE-2026-44011
·
تاريخ النشر
2026-05-06
·
تاريخ التحديث
2026-10-13
الوصف من
CVSS 2.0
9.0
عاليةالمقاييسAV:N/AC:L/Au:S/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Craft CMS من 4.0.0 إلى 4.17.11
إصدارات Craft CMS من 5.0.0 إلى 5.9.17
الوصف
ثغرة في معالجة المدخلات في مسار إنشاء كائن Yii تسمح للمستخدمين المصادق عليهم بإدخال إعدادات خبيثة وتنفيذ أوامر عشوائية على الخادم. تحدث هذه المشكلة لأن بيانات تخطيط حقول الشروط التي يتحكم فيها الطلب يتم تحويلها إلى كائن FieldLayout نشط دون وجود حد
Component::cleanseConfig(). ونظرًا لأن النماذج يتم تكوينها قبل parent:: construct()، فإن مفاتيح التكوين الخاصة التي يتحكم فيها المهاجم يمكن أن تصبح سارية المفعول أثناء إنشاء الكائن، كما أن تهيئة FieldLayout تؤدي إلى تشغيل حدث في نفس الطلب. يمكن استغلال هذا الثغرة عبر طلب POST إلى نقطة النهاية ’/admin/actions/element-search/search‘ أو إجراءات أخرى لفهرسة العناصر باستخدام المعلمة condition.التوصيات
التحديث إلى الإصدار 4.17.12.
التحديث إلى الإصدار 5.9.18.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾