CVE-2022-37783 in Craft

الملخص

بحسب VulDB • 01/06/2026

تُظهر جميع إصدارات Craft CMS بين 3.0.0 و3.7.32 تجزئات كلمات المرور (password hashes) للمستخدمين الذين يقومون بالمصادقة باستخدام عنوان بريدهم الإلكتروني أو اسم المستخدم في رموز Anti-CSRF-Tokens. تستخدم Craft CMS ملف تعريف ارتباط (cookie) يُسمى CRAFT_CSRF_TOKEN وحقل HTML مخفي يُسمى CRAFT_CSRF_TOKEN لتجنب هجمات تزوير الطلبات عبر المواقع (Cross Site Request Forgery). يكشف ملف تعريف الارتباط CRAFT_CSRF_TOKEN عن تجزئة كلمة المرور دون تشفيرها، بينما يكشف حقل HTML المخفي المقابل عن تجزئة كلمة مرور المستخدم بطريقة مقنعة، يمكن فك تشفيرها باستخدام الدوال العامة لإطار عمل YII.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• حجز: 08/08/2022
• إفشاء: 06/12/2022
• الاعتدال: تمت الموافقة
• إدخال: VDB-214902
• CPE: جاهز
• CWE: CWE-200 (مؤكد)
• CVSS: 7.5 (NVD)
• EPSS: 0.01035
• KEV: لا
• النشاطات: منخفض جدًا
• القطاع: Hostingprovider, Lawfirm, ...

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-37783
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-37783
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-37783/