PT-2026-55289
CVE-2026-58467
·
تاريخ النشر
2026-07-02
·
تاريخ التحديث
2026-09-22
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Cockpit CMS الأقدم من 364
الوصف
يمكن للمهاجمين غير المصادق عليهم قراءة ملفات عشوائية أو تنفيذ ملفات PHP بسبب مشكلة تتعلق باجتياز المسار وإدراج الملفات المحلية. يفشل التطبيق في إجراء فحوصات الاحتواء عند إنشاء مسارات نظام الملفات باستخدام
PATH INFO غير المصادق عليه والمشتق من REQUEST URI. من خلال إدخال تسلسلات من النقاط (dot-dot) في عنوان URL، يمكن للمهاجم تجاوز دليل spaces المحدد. إذا كان المسار الذي تم تحليله ينتهي بامتداد .php، فإن التطبيق يمرره إلى دالة include()، مما يتيح تضمين الملفات المحلية في عمليات النشر التي تستخدم خادم PHP المدمج أو تكوينات Nginx غير الافتراضية المحددة.التوصيات
تحديث Cockpit CMS إلى الإصدار 364 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾