PT-2026-57199
CVE-2026-61456
·
تاريخ النشر
2026-07-10
·
تاريخ التحديث
2026-07-10
الوصف من
CVSS 4.0
5.1
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات المكون الإضافي Grav API الأقدم من 1.0.3
الوصف
يؤدي عدم كفاية عملية تنقية ملفات SVG التي يتم تحميلها عبر نقطة النهاية ’POST /api/v1/media‘ إلى السماح لمهاجم معتمد يتمتع بإذن
api.media.write بتحميل ملف يحتوي على تعليمات جافا سكريبت تعسفية. تقوم الدالة HandlesMediaUploads::processUploadedFile() بالتحقق من صحة امتداد الملف فقط، ولا تستدعي الدالة Security::sanitizeSVG(). ونظرًا لأن الملف يتم تخزينه دون تعديل ويتم تقديمه بتنسيق image/svg+xml، فإن البرنامج النصي المضمن يتم تنفيذه في سياق جلسة عمل المسؤول الذي يفتح الملف، مما قد يؤدي إلى سرقة ملفات تعريف الارتباط واختطاف الجلسة.التوصيات
تحديث المكون الإضافي Grav API إلى الإصدار 1.0.3 أو أحدث.
تقييد استخدام إذن
api.media.write على المستخدمين الموثوق بهم فقط.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾