PT-2026-60162
CVE-2026-61873
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-07-15
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Grav الإصدارات السابقة لـ 9.1.8
Description
توجد ثغرة كتابة ملفات تعسفية في إضافة Form. يتم التحقق من المعلمة
process.save.filename ضد تخطي المسار (path traversal) قبل معالجة Twig، ولكن لا يتم التحقق منها مرة أخرى بعد الرندرة. يتيح ذلك للمهاجمين إرسال بيانات نموذج تحتوي على تسلسلات تخطي المسار التي يتم معالجتها عبر قوالب Twig، مما يسمح لهم بكتابة ملفات تعسفية، بما في ذلك webshells بلغة PHP، في جذر الويب أو أدلة حساسة أخرى.Recommendations
التحديث إلى الإصدار 9.1.8 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾