CVE-2023-34253 in Grav
الملخص
بحسب VulDB • 24/05/2026
Grav هو منصة ويب تعتمد على الملفات. قبل الإصدار 1.7.42، كانت القائمة السوداء (denylist) التي أُدخلت في الالتزام 9d6a2d لمنع تنفيذ الدوال الخطرة عبر حقن قوالب خبيثة غير كافية ويمكن تجاوزها بسهولة بعدة طرق -- (1) باستخدام دوال غير آمنة غير مدرجة في القائمة المحظورة، (2) باستخدام أسماء قابلة للتنفيذ مكتوبة بحرف كبير في البداية (capitalised)، و(3) باستخدام أسماء مؤهلة بالكامل (fully-qualified names) للإشارة إلى الدوال القابلة للتنفيذ. ونتيجة لذلك، يمكن لمهاجم ذي صلاحيات منخفضة يمتلك وصولاً إلى لوحة تحكم Grav Admin وصلاحيات إنشاء/تحديث الصفحات، حقن قوالب خبيثة للحصول على تنفيذ للكود عن بُعد (RCE). يحسّن التصحيح في الإصدار 1.7.42 القائمة السوداء.
If you want to get best quality of vulnerability data, you may have to visit VulDB.