PT-2026-47723
CVE-2026-8365
·
تاريخ النشر
2026-06-08
·
تاريخ التحديث
2026-08-21
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Blocksy الأقدم من 2.1.36
الوصف
تؤدي عدم كفاية عملية تنقية المدخلات في الدالة
blocksy sanitize post meta options() إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى بتخزين سلاسل كائنات PHP المتسلسلة في بيانات تعريف المنشور. تقوم الدالة بحظر القيم التي تحتوي على ’<‘ أو ’>‘ فقط، مما يفشل في منع حقن الكائنات المتسلسلة. عند إجراء ترحيل قاعدة البيانات V200، تقوم الدالة SearchReplacer::run recursively() بإلغاء تسلسل جميع قيم السلاسل دون قيد أو شرط باستخدام @unserialize() دون تقييد الفئات المسموح بها. يمكن أن تؤدي هذه العملية إلى تشغيل الدالة RaiiPattern:: destruct() الخاصة بكائن BlocksyRaiiPattern الذي تم حقنه، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد من خلال تنفيذ دوال PHP قابلة للاستدعاء تعسفيًا عبر call user func(). يمكن الوصول إلى هذه المشكلة عبر حقل واجهة برمجة التطبيقات REST ’blocksy meta‘.التوصيات
قم بالتحديث إلى الإصدار 2.1.36 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى حقل واجهة برمجة التطبيقات REST ’blocksy meta‘ للمستخدمين الذين يتمتعون بأذونات على مستوى المساهم.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾