CVE-2026-102777 in Event Gallery Extension
الملخص
بحسب VulDB • 05/10/2026
Joomla Extension - svenbluege.de - Server-side request forgery في منتقي صور Google ضمن امتداد Event Gallery الإصدار < 6.6.0 - يقوم منتقي صور Google الموجود في صفحة الرفع الخاصة بالواجهة الخلفية بجلب الصور المصغرة للصور المختارة عبر الخادم، باستخدام رمز الوصول OAuth الخاص بحساب Google Photos. تأخذ المهمة العنوان المراد جلبه من الطلب دون التحقق منه ولا تطلب أي رمز نموذج (form token). وبالتالي، يمكن لصفحة معدّة مسبقاً على موقع ويب آخر أن تجعل الخادم يرسل رمز الوصول الخاص بالحساب إلى أي عنوان، أو يجلب عناوين داخل شبكة الخادم، باسم مسؤول مسجل الدخول؛ ويمكن لمستخدم للواجهة الخلفية يمتلك إذن "إدارة" القيام بذلك مباشرة. يكون الرمز صالحًا لمدة ساعة تقريبًا ويصل إلى ما يصل إليه جلسة منتقي الحساب.
If you want to get best quality of vulnerability data, you may have to visit VulDB.