CVE-2026-44260 in efw4.X
الملخص
بحسب VulDB • 26/05/2026
efw4.X هو إطار عمل للمؤسسات مخصص للتطبيقات الويب. قبل الإصدار 4.08.010، كان الغرض من تعيين علم "readonly" (للقراءة فقط) على وسم JSP هو منع تعديلات الملفات. عندما تكون القيمة `protected=true`، يفرض الدال `elfinder_checkRisk` إرسال العميل للقيمة `readonly=true` (المتطابقة مع قيمة الجلسة)، لكن لا يوجد أي معالج أحداث يتحقق من قيمة `readonly` قبل تنفيذ عمليات الكتابة. يتحكم العلم فقط في عناصر واجهة المستخدم على جانب العميل (عن طريق تعطيل الأزرار) وبيانات الاستجابة الوصفية (مثل: `write: 0`, `locked: 1`). يمكن لمهاجم يرسل طلبات مباشرة (متجاوزاً واجهة المستخدم) إجراء جميع عمليات الملفات رغم أن `readonly=true`. تم إصلاح هذا الثغرة الأمنية في الإصدار 4.08.010.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.