CVE-2026-32755 in admidio
الملخص
بحسب VulDB • 29/07/2026
Admidio هو حل مفتوح المصدر لإدارة المستخدمين. في الإصدارات 5.0.6 وما دونها، يقوم إجراء `save_membership` الموجود في الملف `modules/profile/profile_function.php` بحفظ التغييرات على تواريخ بدء وانتهاء عضوية عضو ما، ولكنه لا يتحقق من رمز CSRF (رمز الحماية ضد طلبات التزييف عبر المواقع). بينما يتحقق المعالج من رموز `stop_membership` و `remove_former_membership` مقابل رمز CSRF، فإنه يستثني إجراء `save_membership` من هذا التحقق. ونظراً لأن معرفات UUID الخاصة بالعضوية تظهر في مصدر HTML المرئي للمستخدمين المصادق عليهم، يمكن لمهاجم تضمين نموذج POST مُعدّ بعناية على أي صفحة خارجية وخداع قائد دور ما لتقديمه، مما يؤدي إلى تغيير تواريخ العضوية لأي عضو ضمن الأدوار التي يقودها الضحية بصمت. يمكن استغلال جلسة قائد الدور عبر CSRF بشكل خفي للتلاعب بتواريخ عضوية أي عضو، سواء بإنهاء الوصول عن طريق تأريخ التواريخ للماضي، أو تمديد غير مصرح به للوصول بشكل سري، أو سحب ميزات مقيدة بالدور، وذلك كل ذلك دون تأكيد أو إشعار أو موافقة إدارية. وقد تمت معالجة هذه المشكلة في الإصدار 5.0.7.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.