ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يقبل إجراء app/process-api-response-headers ترويسات استجابة واجهة برمجة تطبيقات Craft المزيفة من أي مستخدم مصادق عليه في لوحة التحكم. يمكن لمستخدم غير مسؤل يمتلك صلاحية accessCp فقط إدراج محارف أسطر جديدة في X-Craft-Plugin-Licenses. يمرر Craft هذه القيمة إلى كاتب الملف .env الخاص به دون إزالة محارف الأسطر الجديدة. يتيح ذلك للمستخدم إدراج CRAFT_SECURITY_KEY جديد معروف للمهاجم في الملف .env. بعد أن يقوم Craft بتحميل هذا المفتاح، يمكن للمستخدم تزوير إعادة توجيه تسجيل دخول موقعة تحتوي على رد اتصال Twig system(). يختلف هذا التقرير عن التقرير السابق؛ حيث يقوم التقرير السابق بقراءة المفتاح الحالي عبر تجاوز وضع الحماية لـ Twig، بينما يستبدل هذا التقرير المفتاح عبر ترويسات واجهة برمجة التطبيقات المزيفة وحقن CRLF. إصلاح أي من المصدرين لا يصلح الآخر.