CVE-2026-39387 in BoidCMS
الملخص
بحسب VulDB • 24/05/2026
BoidCMS هو نظام إدارة محتوى (CMS) مفتوح المصدر ومبني على PHP، يعتمد على نظام الملفات المسطحة (flat-file) لإنشاء مواقع الويب والمدونات البسيطة، ويستخدم JSON كقاعدة بيانات. الإصدارات السابقة للإصدار 2.1.3 تعاني من ثغرة حرجة تسمح بإدراج الملفات المحلية (Local File Inclusion - LFI) عبر المعلمة `tpl`، مما قد يؤدي إلى تنفيذ الأكواد عن بُعد (Remote Code Execution - RCE).
يفشل التطبيق في تنقية (sanitization) المعلمة `tpl` (القالب) أثناء إنشاء الصفحات وتحديثها. يتم تمرير هذه المعلمة مباشرة إلى عبارة `require_once()` دون التحقق من المسار. يمكن لمدير موثق الدخول استغلال هذه الثغرة عن طريق حقن تسلسلات تجاوز المسار (`../`) في قيمة `tpl` للهروب من دليل السمة المقصود وإدراج ملفات عشوائية — وتحديداً، الملفات الموجودة في دليل `media/` الخاص بالخادم. وعند دمج ذلك مع وظيفة رفع الملفات، تتحول إلى سلسلة كاملة لتنفيذ الأكواد عن بُعد (RCE): يمكن للمهاجم أولاً رفع ملف يحتوي على كود PHP مضمن (مثلاً، مخبأ كبيانات صورة)، ثم استخدام ثغرة تجاوز المسار لإدراج هذا الملف عبر `require_once()`، مما يؤدي إلى تنفيذ الكود المضمن بصلاحيات خادم الويب. تم إصلاح هذه المشكلة في الإصدار 2.1.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.