PT-2026-51230
CVE-2026-56382
·
تاريخ النشر
2026-06-21
·
تاريخ التحديث
2026-07-09
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Craft CMS من الإصدار 5.5.0 حتى 5.9.13
الوصف
توجد مشكلة في الأسلوب
FieldsController::actionRenderCardPreview() حيث يتم تمرير المعلمة POST fieldLayoutConfig مباشرةً إلى Fields::createLayout() دون معالجتها بواسطة Component::cleanseConfig(). ويؤدي عدم وجود عملية تنقية البيانات إلى السماح لمستخدم إداري معتمد بإدخال معالجات أحداث Yii2، مثل مفاتيح on init، عبر المعلمة fieldLayoutConfig. وقد يؤدي ذلك إلى تنفيذ كود PHP تعسفي وإفشاء معلومات حساسة، بما في ذلك CRAFT SECURITY KEY ومتغيرات البيئة التي تحتوي على بيانات اعتماد قاعدة البيانات.التوصيات
قم بالتحديث إلى الإصدار 5.9.14.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾