CVE-2026-15070

نظام حجز الصالونات – الإصدار المجاني، الإصدارات الأقدم من 10.30.33

هذه المشكلة هي عبارة عن تزوير طلب عبر المواقع (CSRF) يسمح للمهاجمين غير المصادق عليهم بتنفيذ تعليمات برمجية عن بُعد على الخادم. توجد هذه الثغرة بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة setCustomText(). يمكن للمهاجم خداع مسؤول الموقع للنقر على رابط لتشغيل طلب مزور، مما يؤدي إلى إدخال تعليمات برمجية PHP عشوائية في ملف translate-constants.php. على الرغم من أن المعلمة value تتم معالجتها بواسطة الدالة sanitize text field()، إلا أن هذه الدالة تفشل في تحييد أحرف مثل الأقواس المفردة، والأقواس، والفاصلة المنقوطة، و$، و[ ])، مما يسمح للمهاجم بالخروج من السلسلة النصية الثابتة في PHP قبل كتابة البيانات على القرص باستخدام الدالة file put contents().

تحديث المكون الإضافي إلى إصدار أحدث من 10.30.32.