ثغرة تزوير الطلبات عبر المواقع (CSRF) في وحدة Thelia Page قبل الإصدار 2.0.4 عبر مسارات حذف Page Tag وDocument وImage

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تتضمن وحدة Thelia Page قبل الإصدار 2.0.4 ثغرة تزوير الطلبات عبر المواقع تسمح للمهاجمين عن بُعد بحذف علامات الصفحة (page tags) والمستندات والصور من خلال إساءة استخدام مسارات الحذف في الخلفية التي تفتقر إلى رموز CSRF وفحوصات الأذونات. يمكن للمهاجمين خداع مسؤول مسجل الدخول للانتقال إلى طلبات GET مصممة تتجول عبر معرفات متسلسلة، مما يؤدي إلى إزالة صور TheliaLibrary وملفاتها ومتغيراتها عبر الصفحات والمنتجات والفئات.

المعالجة

1. أحصِ جميع نشرات Thelia Thelia Page Module، بما فيها بيئات الاختبار.
2. رقِّ Thelia Thelia Page Module إلى الإصدار 2.0.4.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/thelia-modules/Page/commit/e7206a7c35c945cc8fe529fe95a9b30402f0fb60
• تحذيرhttps://github.com/thelia/thelia/security/advisories/GHSA-whqr-4v2h-6jhc
• تحذيرhttps://www.vulncheck.com/advisories/thelia-page-module-before-2.0.4-csrf-via-page-tag-document-and-image-delete-routes
• مرجعhttps://github.com/thelia-modules/Page/blob/2.0.3/Controller/Admin/PageImageController.php#L117