Lyang

Um problema no componente UEditor Widget permite o upload irrestrito de arquivos. A falha reside na função `UeditorAction::init()` localizada no arquivo `backend/widgets/ueditor/UeditorAction.php`, a qual pode ser explorada remotamente.

Uma falha de server-side request forgery existe no componente UEditor, especificamente na função `catchImage()` do arquivo `backend/widgets/ueditor/Uploader.php`. Um invasor remoto pode explorar isso manipulando o argumento `source[]`, permitindo que o servidor realize requisições não autorizadas a recursos internos ou externos.

Um problema existe no componente de Validação de Cookie dentro do arquivo environments/prod/backend/config/main-local.php. A manipulação do argumento `cookieValidationKey` leva ao uso de uma chave criptográfica codificada rigidamente (hard-coded), o que permite ataques remotos.