ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي نظام YesWiki في الإصدارات قبل 4.7.0 على ثغرة تزوير الطلبات من جانب الخادم في وظيفة `copyUrlToLocalFile()` لاستيراد ملفات CSV الخاصة بـ Bazar، والتي تسمح للمسؤولين المصدق عليهم بإجراء طلبات صادرة عشوائية عن طريق توفير عناوين URL مصممة في ملف CSV أو حقول الصور. يمكن للمهاجمين تجاوز فحص الامتداد باستخدام لاحقة سلسلة الاستعلام (query-string suffix) أو عمليات إعادة التوجيه لجلب بيانات اعتماد بيانات ميتا السحابية، أو الخدمات الداخلية، أو الملفات المحلية عبر `file://`، مع تخزين الاستجابات في مجلد `files/` القابل للوصول عبر الويب.