PT-2026-49086
CVE-2026-54164
·
تاريخ النشر
2026-06-13
·
تاريخ التحديث
2026-10-25
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات API Platform Core الأقدم من 4.1.30
إصدارات API Platform Core الأقدم من 4.2.26
إصدارات API Platform Core الأقدم من 4.3.12
الوصف
توجد مشكلة في الخلط بين الأنواع في
AbstractItemNormalizer الخاص بالمُسلسل عند تحليل معرّفات الموارد الدولية (IRIs). يفشل النظام في التحقق من صحة نوع المورد الذي تم إرجاعه، مما يسمح بتعيين مورد من نوع غير مقصود إلى خاصية علاقة دون إظهار أي رسالة خطأ. يمكن للمهاجم استغلال هذه الثغرة عن طريق إرسال طلبات كتابة (POST أو PUT أو PATCH) إلى نقطة نهاية تحتوي على علاقات قابلة للكتابة، مع توفير معرّف IRI للعلاقة يشير إلى مورد من نوع مختلف عن الفئة المعلنة. يحدث هذا لأن getResourceFromIri() لا تمرر $operation إلى IriConverter::getResourceFromIri()، مما يؤدي إلى تخطي حارس النوع is a في IriConverter.php. بالنسبة لخصائص العلاقات غير المحددة النوع، يمكن أن يؤدي هذا إلى إتلاف الثوابت والتأثير على المنطق اللاحق الذي يفترض النوع المعلن.التوصيات
التحديث إلى الإصدار 4.1.30
التحديث إلى الإصدار 4.2.26
التحديث إلى الإصدار 4.3.12
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾