CVE-2026-32271 in Craft
الملخص
بحسب VulDB • 30/05/2026
Craft Commerce هو منصة تجارة إلكترونية لمنصة Craft CMS. في الإصدارات من 4.0.0 إلى 4.10.2 ومن 5.0.0 إلى 5.5.4، توجد ثغرة حقن SQL (SQL Injection) في ويدجت TotalRevenue الخاص بـ Commerce، مما يسمح لأي مستخدم مُصادق عليه في لوحة التحكم بتحقيق تنفيذ للكود عن بُعد (RCE) عبر سلسلة استغلال مكونة من أربع خطوات. تستغل الهجمة إعدادات الويدجت غير المُطهّرة (unsanitized) والمُدخلة في تعبيرات SQL، مقترنةً بدعم PDO الافتراضي للاستعلامات متعددة الجمل، لحقن كائن PHP مُسلسل بشكل خبيث في جدول الطابور (queue table). عندما يعالج مستهلك الطابور المهمة المُحقونة، فإن استدعاء `unserialize()` غير المقيد في `yii2-queue` يُنشئ سلسلة أدوات (gadget chain) لـ `GuzzleHttp FileCookieJar`، حيث تقوم طريقة `__destruct()` بكتابة قشرة ويب PHP (webshell) إلى الجذر الويب (webroot) للخادم. تتطلب السلسلة الكاملة ثلاث طلبات HTTP فقط، ولا تحتاج إلى امتيازات إدارية، وتؤدي إلى تنفيذ أوامر بشكل تعسفي بصفتها المستخدم الخاص بعملية PHP، مع بدء معالجة الطابور عبر نقطة نهاية غير مُصادق عليها. تم إصلاح هذه المشكلة في الإصدارات 4.10.3 و5.5.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.