PT-2026-60145
CVE-2026-61451
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-07-16
الوصف من
CVSS 3.1
9.6
حرجةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات grav-plugin-api الأقدم من 1.0.4
الوصف
يمكن لمهاجم غير مصدق أن يجعل رسالة البريد الإلكتروني الخاصة بإعادة تعيين كلمة المرور تحتوي على رابط يشير إلى خادم يخضع لسيطرته. يحدث هذا لأن الدالة
sanitizeHttpUrl() تفشل في التحقق من المضيف مقارنةً بمصدر الخادم نفسه، حيث تتحقق فقط من أن مخطط عنوان URL هو http أو https. توجد المشكلة في نقطة النهاية ’POST /api/v1/auth/forgot-password‘ عبر الحقل admin base url، ويمكن أن تتأثر أيضًا برؤوس Referer أو Origin. إذا اتبع الضحية الرابط الخبيث، يتم الكشف عن رمز إعادة التعيين الصالح للمهاجم، مما يسمح بالاستيلاء الكامل على الحساب.التوصيات
قم بالتحديث إلى الإصدار 1.0.4 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾