PT-2026-80939
CVE-2026-71905
·
تاريخ النشر
2026-08-24
·
تاريخ التحديث
2026-10-13
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
نظام إدارة الموارد الشخصية Volmarg (لم يتم تحديد الإصدارات المتأثرة)
DrayTek VigorAP (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يسمح نظام إدارة الموارد الشخصية Volmarg للمهاجمين المصادق عليهم بقراءة ملفات عشوائية عبر نقطة النهاية ’GET /public/get-file/{path}‘. يتم تمرير معلمة المسار
path إلى الدالة file get contents() دون إجراء عملية التوحيد (canonicalization)، وهي عملية تحويل المسار إلى أبسط صيغة قياسية له، مما يسمح باسترداد الملفات الحساسة التي يمكن لعملية PHP-FPM الوصول إليها.تحتوي طرازات DrayTek VigorAP على ثغرة حقن الأوامر في الدالة
ExportSettings(). يؤدي التصفية غير الكافية لحقول backupkey وbackuptype وrealtime إلى تمكين المهاجم عن بُعد الذي يمتلك بيانات اعتماد إدارية من تنفيذ أوامر عشوائية بامتيازات الجذر.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾