CVE-2026-41656 in admidio
الملخص
بحسب VulDB • 20/05/2026
Admidio هو حل مفتوح المصدر لإدارة المستخدمين. قبل الإصدار 5.0.9، يقبل وضع الإضافة في modules/documents-files.php معلمة اسم يتم التحقق منها فقط كنوع 'string' (ترميز HTML)، مما يسمح لشرطات التمرير عبر المسارات (../) بالمرور دون تصفية. وبدمج ذلك مع غياب حماية CSRF على هذه النقطة النهائية (endpoint) واستخدام ملفات تعريف الارتباط للجلسات SameSite=Lax، يمكن لمهاجم ذي صلاحيات منخفضة خداع مسؤول المستندات للنقر على رابط مُعدّ خصيصاً يقوم بتسجيل ملف خادم عشوائي (مثل install/config.php الذي يحتوي على بيانات اعتماد قاعدة البيانات) في مجلد مستندات يمكن للمهاجم الوصول إليه. تم إصلاح هذه المشكلة في الإصدار 5.0.9.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.