PT-2026-41770
CVE-2026-45270
·
تاريخ النشر
2026-05-18
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 3.1
8.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات CI4MS الأقدم من 0.31.9.0
الوصف
تفشل الوحدة النمطية الخلفية
Pages في تنقية محتوى الصفحة بشكل صحيح، مما يؤدي إلى ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة. على الرغم من تسجيل قاعدة التحقق html purify لمحتوى الصفحة المرتبط باللغة، إلا أن النظام يحفظ قيمة POST الأولية في قاعدة البيانات بدلاً من النسخة التي تمت معالجتها. يقوم عارض الصفحات العام، وتحديداً الدالة Home::index() والقالب app/Views/templates/default/pages.php، بإخراج المتغير $pageInfo->content دون إجراء عملية الهروب (escaping) المناسبة. وهذا يسمح للمهاجم الذي يمتلك أذونات مؤلف المحتوى بحقن نصوص برمجية ضارة يتم تنفيذها في متصفح أي زائر، بما في ذلك المسؤولون. إذا تم ترقية صفحة ضارة إلى الصفحة الرئيسية للموقع، فيمكن عرض الحمولة الضارة عند نقطة النهاية /، مما يؤثر على جميع زوار الموقع. وقد يؤدي ذلك إلى الاستيلاء على الحساب الإداري من خلال استخراج ملفات تعريف الارتباط الخاصة بالجلسة.التوصيات
قم بالتحديث إلى الإصدار 0.31.9.0.
كإجراء تخفيفي مؤقت، قم بتقييد أذونات
pages.create وpages.update على المستخدمين الموثوق بهم للغاية فقط لمنع إدخال محتوى ضار. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾