PT-2026-50531
CVE-2026-11407
·
تاريخ النشر
2026-06-17
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Pimcore CMS/DXP الإصدار 12.3.8
الوصف
تسمح ثغرة تجاوز منطقة الحماية (sandbox bypass) للمهاجمين الإداريين المصادق عليهم بتنفيذ أساليب تعسفية على كائنات PHP. ويحدث ذلك بسبب تطبيقات فارغة لـ
checkMethodAllowed() وcheckPropertyAllowed() ضمن سياسة الأمان المخصصة Twig SecurityPolicy. ومن خلال توفير قوالب Twig ضارة عبر مكون ’DataObject ClassDefinition LayoutText‘، يمكن للمهاجمين قراءة الملفات بشكل تعسفي وتنفيذ استعلامات تعسفية على قاعدة البيانات. علاوة على ذلك، فإن البدل pimcore * يوسع نطاق التجاوز ليشمل جميع وظائف Pimcore Twig، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد عبر سلاسل أدوات كائنات PHP.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾