PT-2026-48882
CVE-2026-53787
·
تاريخ النشر
2026-06-12
·
تاريخ التحديث
2026-10-14
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Amasty Order Attributes لـ Magento 2 في الإصدارات الأقدم من 4.0.0
الوصف
تسمح ثغرة تتعلق بتحميل ملفات عشوائية دون مصادقة للمهاجمين بكتابة ملفات من أي نوع أو باسم ما إلى دليل الوسائط الخاص بالمتجر. ويحدث ذلك لأن نقطة نهاية التحميل تفتقر إلى المصادقة والتحقق من صحة الجلسة وسياق سلة التسوق. ويمكن أن يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد إذا كان دليل الوسائط يسمح بتنفيذ لغة PHP. بالإضافة إلى ذلك، فإنه يتيح استضافة البرامج الضارة، و«البرمجة النصية عبر المواقع» (XSS) المخزنة — حيث يتم تخزين البرامج النصية الخبيثة بشكل دائم على الخادم — عبر عمليات تحميل ملفات HTML أو SVG، وعبور المسار لكتابة ملفات خارج الدليل المقصود.
التوصيات
قم بالتحديث إلى الإصدار 4.0.0 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾