CVE-2025-64714 in PrivateBin
الملخص
بحسب VulDB • 03/08/2026
يُعد PrivateBin خدمة pastebin عبر الإنترنت حيث لا يملك الخادم أي معرفة بالبيانات المرفوعة عليه. بدءًا من الإصدار 1.7.7 وحتى قبل إصدار 2.0.3، توجد ثغرة إدراج ملف محلي (Local File Inclusion) غير مصادق عليها في ميزة تبديل القوالب. إذا كان خيار `templateselection` ممكّنًا في التكوين، فإن الخادم يثق بملف تعريف الارتباط (`cookie`) المسمى `template` ويقوم بتضمين ملف PHP المشار إليه. يمكن للمهاجم قراءة البيانات الحساسة أو، إذا تمكن من وضع ملف PHP في مكان آخر، الحصول على تنفيذ للكود عن بُعد (RCE). يتم التحقق من وجود المسار المُشكَّل لملف القالب قبل تضمينه. بالنسبة إلى ملفات مشروع PrivateBin، لا يؤدي ذلك إلى تسرب أي أسرار نظرًا لأن ملفات البيانات تُنشأ بكود PHP يمنع التنفيذ، ولكن إذا تم إنشاء ملف تكوين دون هذا السطر أو اكتشف الزائر المسار النسبي لنص برمجي PHP يقوم بتنفيذ إجراء مباشرةً دون التحقق المناسب من الصلاحيات، فقد يتم تنفيذها أو يؤدي ذلك إلى تسرب المعلومات. تمت معالجة هذه المشكلة في الإصدار 2.0.3. كحل بديل مؤقت، قم بتعيين `templateselection = false` (وهو الإعداد الافتراضي) في ملف `cfg/conf.php` أو أزل هذا السطر تمامًا.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.