PT-2026-60148
CVE-2026-61457
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-07-15
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات المكون الإضافي Grav API الأقدم من 1.0.3
الوصف
يوجد ثغرة تسمح بتجاوز ميزة تحميل الملفات في وحدة التحكم في الوسائط الخاصة بـ API. تقوم الدالة
validateFileExtension() بفحص امتداد الملف النهائي فقط باستخدام pathinfo($filename, PATHINFO EXTENSION)، مما يسمح للمستخدم الذي يمتلك إذن api.media.write بتحميل ملفات ذات امتدادات مزدوجة، مثل shell.php.jpg، لتجاوز قائمة الحظر الخاصة بالامتدادات الخطرة. وقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد إذا قام خادم الويب بتنفيذ الملف الذي تم تحميله كملف PHP.التوصيات
قم بتحديث المكون الإضافي Grav API إلى الإصدار 1.0.3 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾