PT-2026-67504
CVE-2026-18737
·
تاريخ النشر
2026-08-03
·
تاريخ التحديث
2026-08-03
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Shlink (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يمكن لحامل مفتاح API معتمد تنفيذ حقن SQL أعمى عن طريق تقديم قيمة غير مدققة في معلمة الاستعلام
orderBy الخاصة بنقطة نهاية إحصائيات العلامات. ويحدث ذلك لأن المدخلات تمر دون تنقية إلى جملة ORDER BY في Doctrine QueryBuilder، مما يسمح بحقن أجزاء SQL عشوائية. ويمكن أن يؤدي ذلك إلى استخراج بيانات حساسة من أي مستأجر، بما في ذلك عناوين URL الطويلة، وسجلات الزوار، وعناوين IP، وبيانات تحديد الموقع الجغرافي، ووكلاء المستخدمين، وأسرار مفاتيح API المُجزأة، باستخدام تقنيات قائمة على الوقت، أو تقنيات boolean-oracle، أو تقنيات قائمة على الأخطاء.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾