PT-2026-69458
CVE-2026-72574
·
تاريخ النشر
2026-08-10
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات picocms/Pico الأقدم من 2.1.5
الوصف
تسمح مشكلة حقن رأس المضيف لمهاجم بعيد غير مصدق بالسيطرة على مصدر موارد JavaScript و CSS التي يتم تحميلها بواسطة السمة الافتراضية. عندما يكون
base url غير محدد، تقوم الدالة getBaseUrl() في lib/Pico.php بإنشاء عنوان URL الأساسي باستخدام رؤوس طلبات Host و X-Forwarded-Host و X-Forwarded-Proto و X-Forwarded-Port غير المصادق عليها. يؤدي هذا إلى توجيه theme url وassets url وplugins url إلى نطاق يسيطر عليه المهاجم، مما يدفع التطبيق إلى تحميل البرامج النصية وأوراق الأنماط من هذا المصدر الخارجي.التوصيات
قم بتحديث picocms/Pico إلى الإصدار 2.1.5 أو أحدث.
اضبط إعداد
base url على قيمة ثابتة لمنع التطبيق من الاعتماد على رؤوس الطلبات لتحديد عنوان URL الأساسي. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾