PT-2026-41884
CVE-2026-4883
·
تاريخ النشر
2026-05-18
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Piotnet Forms الأقدم من 2.1.41
الوصف
توجد ثغرة تسمح بتحميل ملفات عشوائية بسبب عدم وجود عملية التحقق من نوع الملف داخل الدالة
piotnetforms ajax form builder(). يستخدم البرنامج قائمة سوداء غير كاملة للملحقات، حيث تحظر فقط الملحقات php و phpt و php5 و php7 و exe، بينما تسمح بملحقات خطيرة مثل .phar أو .phtml. وهذا يسمح للمهاجمين غير المصادق عليهم بتحميل ملفات عشوائية إلى الخادم، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد. لا يمكن استغلال هذه المشكلة إلا إذا تمت إضافة حقل ملف إلى النموذج.التوصيات
قم بالتحديث إلى إصدار أحدث من 2.1.40.
كحل مؤقت، تجنب إضافة حقول الملفات إلى النماذج حتى يتم تطبيق التحديث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾