ثغرة حقن الشيفرة في ملف index.php ضمن مجلد الموقع للهاتف المحمول في منتج dayrui XunRuiCMS عبر الدالة str_replace

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تم اكتشاف ثغرة أمنية في منتج dayrui XunRuiCMS حتى الإصدار 4.7.4. تتأثر بهذه المشكلة الدالة str_replace في الملف /var/www/html/zzmob/index.php التابع لمكون دليل موقع الهاتف المحمول. يؤدي التلاعب بالمعامل dirname إلى حقن شيفرة. يمكن شن الهجوم عن بُعد. تم نشر استغلال الثغرة للعامة وقد يُستخدم في شن هجمات. تم التواصل مع المورد مبكرًا بشأن هذا الكشف لكنه لم يستجب بأي شكل.

المعالجة

1. أحصِ جميع نشرات dayrui XunRuiCMS، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تحذيرhttps://vuldb.com/cve/CVE-2026-120349
• تحذيرhttps://vuldb.com/submit/1016299
• مرجعhttps://github.com/tiranbge/disclosure-xunruicms-4.7.2/blob/master/reports/2.md
• مرجعhttps://vuldb.com/vuln/429673
• مرجعhttps://vuldb.com/vuln/429673/cti