PT-2026-42537
CVE-2026-8417
·
تاريخ النشر
2026-05-21
·
تاريخ التحديث
2026-05-21
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Concrete CMS الأقدم من 9.5.1
الوصف
يفشل Concrete CMS في التحقق من صحة رمز تزوير الطلبات عبر المواقع (CSRF) — وهو معرّف فريد يُستخدم لمنع إرسال أوامر غير مصرح بها من مستخدم يثق به التطبيق الويب — قبل معالجة الطلبات الموجهة إلى نقطة النهاية ’/dashboard/extend/update/do update/‘. تقوم الدالة
do update() الموجودة في الملف ’concrete/controllers/single page/dashboard/extend/update.php‘ بالتحقق فقط من شرط canInstallPackages() قبل تنفيذ upgradeCoreData() وupgrade() على وحدة التحكم الخاصة بالحزمة المحددة. نظرًا لأن نقطة النهاية هذه هي مسار GET يغير الحالة دون فرض رمز مميز، يمكن للمهاجم خداع مسؤول تمت مصادقته لحثه على تشغيل ترقية الحزمة من خلال التنقل عبر المواقع، شريطة أن يجتاز المسؤول فحص canInstallPackages() وأن تكون الحزمة المستهدفة مثبتة بالفعل.التوصيات
قم بالتحديث إلى إصدار أحدث من 9.5.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾