PT-2026-53027
CVE-2026-54242
·
تاريخ النشر
2026-06-26
·
تاريخ التحديث
2026-07-20
الوصف من
CVSS 3.1
4.9
متوسطةالمقاييسAV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Statamic الأقدم من 5.73.24
إصدارات Statamic الأقدم من 6.20.1
الوصف
يحتوي وكيل الصور Glide على ثغرة تسمح بتجاوز عملية التحقق من صحة عناوين URL في الملفين
src/Imaging/RemoteUrlValidator.php وsrc/Imaging/GuzzleAdapter.php عن طريق إعادة ربط DNS. إعادة ربط DNS هي تقنية تسمح للعميل بتجاوز سياسة ”نفس المنشأ“ (Same-Origin Policy) عن طريق تغيير عنوان IP المرتبط باسم النطاق بين وقت التحقق من الصحة ووقت الطلب الفعلي. في هذه الحالة، يتم التحقق مبدئيًا من أن اسم المضيف البعيد قابل للتوجيه علنًا، ولكن يتم تحليله مرة أخرى أثناء عملية استرداد الصورة. يمكن للمهاجم الذي يتحكم في نظام أسماء النطاقات (DNS) إعادة ربط اسم المضيف بعنوان داخلي، مما يجبر الخادم على إرسال طلبات HTTP إلى نقاط نهاية loopback أو شبكة خاصة أو بيانات تعريف سحابية. تؤثر هذه المشكلة على المواقع التي تمرر عناوين URL التي يقدمها المستخدمون إلى Glide.التوصيات
قم بالتحديث إلى الإصدار 5.73.24.
قم بالتحديث إلى الإصدار 6.20.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾