PT-2026-68021
CVE-2026-54416
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-29
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Pluck CMS الأقدم من 4.7.22
الوصف
تفشل ميزة إدارة الملفات في لوحة الإدارة في تقييد عمليات تحميل الملفات الخطيرة بشكل صحيح. يستخدم النظام قائمة سوداء ثابتة في ملف
data/inc/files.php تتحقق من آخر 4-5 أحرف من اسم الملف، لكنها تتجاهل الامتداد .php8. يمكن للمسؤول المصادق عليه تحميل ملف بامتداد .php8، والذي يتم تخزينه دون تعديل. على الخوادم التي تعمل بنظام PHP 8.x، يقوم خادم الويب بتنفيذ هذا الملف كملف PHP، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد.التوصيات
تحديث Pluck CMS إلى الإصدار 4.7.22 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى ميزة إدارة الملفات الخاصة بالمسؤول أو تأكد من أن الخادم لا يعمل بنظام PHP 8.x.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾