PT-2026-50772
CVE-2026-54390
·
تاريخ النشر
2026-06-18
·
تاريخ التحديث
2026-11-07
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات JTL Shop من 5.2.0 إلى 5.7.1
الوصف
يمكن للمهاجمين غير المصادق عليهم إدخال صيغة قالب خبيثة لأن المدخلات غير المُعقمة التي يقدمها المستخدم يتم تمريرها إلى محرك القوالب Smarty، وهو أداة تُستخدم لإنشاء محتوى ويب ديناميكي. وهذا يسمح باسترداد معلومات حساسة من جانب الخادم، بما في ذلك مفاتيح التشفير وبيانات اعتماد قاعدة البيانات. في الإصدارات من 5.4.0 إلى 5.7.1، يمكن للمهاجمين استخدام مُعدِّلات Smarty المسجَّلة، وتحديدًا
unserialize() وfile get contents()، لكتابة برنامج ويب شيل في جذر الويب وتنفيذ أوامر عشوائية بامتيازات مستخدم خادم الويب.التوصيات
التحديث إلى الإصدار 5.7.2 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾