Xerte Online Toolkits حتى الإصدار 3.15.5: تنفيذ أوامر عن بُعد عبر استيراد حزمة لغة

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تحتوي أدوات Xerte Online Toolkits حتى الإصدار 3.15.5 على ثغرة تنفيذ أوامر عن بُعد تسمح للمستخدمين المصدقين الذين يملكون صلاحيات النظام بتشغيل لغة PHP من خلال استيراد حزمة لغة معدلة. يمكن للمهاجمين تحميل ملف ZIP عبر import_language.php يحتوي على ملف .inc، ثم طلبه عبر معامل اللغة لتنفيذ الشيفرة على الخادم.

المعالجة

1. أحصِ جميع نشرات thexerteproject xerteonlinetoolkits، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تحذيرhttps://www.vulncheck.com/advisories/xerte-online-toolkits-through-3.15.5-rce-via-language-pack-import
• مرجعhttps://github.com/thexerteproject/xerteonlinetoolkits
• مرجعhttps://github.com/thexerteproject/xerteonlinetoolkits/blob/c381d8cbdff6b59bb52bf158cd30cf2c425cb24b/functions.php#L419
• مرجعhttps://github.com/thexerteproject/xerteonlinetoolkits/blob/c381d8cbdff6b59bb52bf158cd30cf2c425cb24b/website_code/php/language/import_language.php#L211
• مرجعhttps://github.com/thexerteproject/xerteonlinetoolkits/issues/1557