PT-2026-42547
CVE-2026-8421
·
تاريخ النشر
2026-05-21
·
تاريخ التحديث
2026-05-21
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Concrete CMS الأقدم من 9.5.1
الوصف
توجد مشكلة تتعلق بتزوير الطلبات عبر المواقع (CSRF) في الأسلوب
install package() في نقطة النهاية ’concrete/controllers/single page/dashboard/extend/install.php‘. يمكن للمهاجم إجبار مسؤول معتمد يتمتع بأذونات canInstallPackages على تثبيت حزمة ما إذا كان المهاجم قد وضع بالفعل حزمة في المجلد DIR PACKAGES/<handle>/. ونظرًا لأن عملية التثبيت تقوم بتنفيذ طريقة install() الخاصة بوحدة التحكم الخاصة بالحزمة بصفته مستخدم خادم الويب، فقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد.التوصيات
قم بالتحديث إلى إصدار أحدث من 9.5.0.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’concrete/controllers/single page/dashboard/extend/install.php‘ أو قم بتعطيل الدالة
install package() حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾