PT-2026-69111
CVE-2026-11430
·
تاريخ النشر
2026-08-07
·
تاريخ التحديث
2026-08-31
الوصف من
CVSS 3.1
7.3
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي scheduler-webhook الخاص بنظام إدارة المحتوى Grav CMS (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يوجد ثغرة لتجاوز المصادقة في عملية التحقق من رمز webhook الخاص بالمكوّن الإضافي scheduler-webhook. عندما تكون ميزة webhook ممكّنة ولكن لم يتم تكوين
webhookToken، يتخطى النظام عملية التحقق من صحة الرمز. وهذا يسمح لمهاجم عن بُعد غير مصدّق بتشغيل المهام المجدولة التي تم تكوينها مسبقًا عن طريق إرسال طلب إلى نقطة النهاية ’POST /scheduler/webhook‘. يمكن للمهاجم تحديد المهمة التي سيتم تشغيلها باستخدام المعلمة job، على الرغم من أنه لا يمكنه التحكم في حمولة المهمة. لا يكون تنفيذ التعليمات البرمجية عن بُعد ممكنًا إلا إذا كان المشغل قد قام بتكوين مهمة تُنفذ أوامر shell. تتطلب هذه المشكلة تثبيت المكون الإضافي scheduler-webhook وتعيين الإعداد scheduler.modern.webhook.enabled على القيمة true.التوصيات
قم بتكوين
webhookToken لضمان إجراء التحقق من صحة الرمز المميز.اضبط
scheduler.modern.webhook.enabled على القيمة false إذا لم تكن ميزة webhook مطلوبة.كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’POST /scheduler/webhook‘.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾