PT-2026-70264
CVE-2026-56721
·
تاريخ النشر
2026-08-11
·
تاريخ التحديث
2026-08-11
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات CamaleonCMS الأقدم من 2.9.3
الوصف
تسمح ثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) للمهاجمين المصادق عليهم ذوي الامتيازات المنخفضة بترقية امتيازاتهم من خلال استغلال ثغرة «التشويش في المعلمات» في
UsersController بين مرشح التفويض ونص الإجراء. من خلال إرسال طلب PATCH إلى نقطة النهاية ’updated ajax‘، يمكن للمهاجم تعيين المعلمة id إلى معرف المستخدم الخاص به لتجاوز عمليات التحقق من التفويض الذاتي، مع تعيين المعلمة user id إلى معرف الضحية. يؤدي هذا إلى قيام وحدة التحكم بتحميل حساب الضحية وتعديله، مما يمكّن المهاجم من الكتابة فوق كلمات مرور المسؤولين والاستيلاء الكامل على الموقع.التوصيات
تحديث CamaleonCMS إلى الإصدار 2.9.3 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾