PT-2026-42735
CVE-2026-7798
·
تاريخ النشر
2026-05-21
·
تاريخ التحديث
2026-09-24
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
FluentCRM – إصدارات «النشرة الإخبارية عبر البريد الإلكتروني»، و«الأتمتة»، و«التسويق عبر البريد الإلكتروني»، و«حملات البريد الإلكتروني»، و«الاشتراكات»، و«العملاء المحتملين»، و«حلول إدارة علاقات العملاء» (CRM) التي تسبق الإصدار 2.9.88
الوصف
المكوّن الإضافي معرض لخطر «تزوير الطلبات من جانب الخادم الأعمى» (SSRF)، وهو عيب يتيح للمهاجم إجبار الخادم على إرسال طلبات HTTP إلى وجهة عشوائية. يمكن استغلال هذه الثغرة من قبل مهاجمين غير مصدقين عبر المعلمة
SubscribeURL للاستعلام عن المعلومات من الخدمات الداخلية أو تعديلها. لا يمكن استغلال هذه المشكلة إلا إذا لم يتم تخزين مفتاح معالجة الارتداد SES fc bounce key، وهو ما يحدث عندما يكون الموقع في حالته الافتراضية أو غير المُهيأة فيما يتعلق بمعالجة الارتداد SES. في حالة زيارة صفحة تكوين الارتداد، يتم إنشاء مفتاح عشوائي وتخزينه، مما يمنع الطلبات غير المصدقة.التوصيات
قم بالتحديث إلى إصدار أحدث من 2.9.87.
كإجراء تخفيفي مؤقت، تأكد من زيارة صفحة تكوين الارتداد في SES لإنشاء مفتاح
fc bounce key وتخزينه. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾