CVE-2026-16648

اسم البرنامج المتأثر والإصدارات المتأثرة Drupal Mailer Plus Log الإصدارات من 0.0.0 إلى 1.2.7

الوصف يفشل النموذج في تنقيح محتوى رسائل البريد الإلكتروني المسجلة بشكل كافٍ. وبناءً على ذلك، يتم تخزين رسائل البريد الإلكتروني المتعلقة بالحسابات مع الاحتفاظ بروابط تسجيل الدخول لمرة واحدة. يمكن للمهاجم الذي يمتلك صلاحية View Drupal Symfony Mailer log entries الوصول إلى هذه الروابط للدخول غير المصرح به إلى أي حساب، بما في ذلك الحساب الإداري (المستخدم 1). يحدث هذا لأن الصلاحية لم تكن محددة كصلاحية مقيدة في الإصدارات السابقة.

التوصيات تحديث Drupal Mailer Plus Log إلى إصدار أحدث من 1.2.7. قصر صلاحية View Drupal Symfony Mailer log entries على المسؤولين الموثوقين فقط.