PT-2026-70197
CVE-2026-72779
·
تاريخ النشر
2026-08-06
·
تاريخ التحديث
2026-08-11
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Craft CMS من 5.0.0-RC1 حتى 5.10.5
إصدارات Craft CMS من 4.0.0-RC1 حتى 4.18.1
الوصف
توجد ثغرة تسمح بقراءة ملفات عشوائية، حيث تفشل دالة
create() في Twig في تضمين SplFileObject في قائمة الحظر الخاصة بإنشاء مثيل الفئة. وهذا يسمح للمسؤول المصادق عليه الذي لديه allowAdminChanges=true بتكوين عنوان نوع إدخال ضار أو تنسيق URI يقوم بإنشاء مثيل SplFileObject ضمن سياق قالب غير محمي ببيئة الرمل (sandbox). ونتيجة لذلك، عندما يقوم مستخدم بإنشاء إدخال في القسم المتأثر، يمكن قراءة ملفات الخادم الحساسة، مثل ملف .env الذي يحتوي على مفاتيح الأمان وبيانات اعتماد قاعدة البيانات، وعرضها كعناوين للإدخالات.التوصيات
قم بتحديث إصدارات Craft CMS من 5.0.0-RC1 إلى 5.10.5 إلى الإصدار 5.10.6.
قم بتحديث إصدارات Craft CMS من 4.0.0-RC1 إلى 4.18.1 إلى الإصدار 4.18.2.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾