ثغرة حقن شيفرة في الدالة _get_tpl_content داخل ملف Notice.php لعرض قوالب البريد الإلكتروني في dayrui XunRuiCMS

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تم تحديد ثغرة في الإصدارات حتى 4.7.4 من dayrui XunRuiCMS. التأثير يقع على الدالة _get_tpl_content في الملف dayrui/Fcms/Library/Notice.php ضمن مكون عرض قوالب البريد الإلكتروني. يؤدي التلاعب إلى حقن شيفرة. يمكن بدء الهجوم عن بُعد. الاستغلال متاح للعامة وقد يتم استخدامه. تم التواصل مع المورِّد مبكرًا بشأن هذا الكشف لكنه لم يستجب بأي شكل.

المعالجة

1. أحصِ جميع نشرات dayrui XunRuiCMS، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تحذيرhttps://vuldb.com/cve/CVE-2026-120348
• تحذيرhttps://vuldb.com/submit/1016298
• مرجعhttps://github.com/tiranbge/disclosure-xunruicms-4.7.2/blob/master/reports/1.md
• مرجعhttps://vuldb.com/vuln/429672
• مرجعhttps://vuldb.com/vuln/429672/cti