CVE-2026-46696 in October
الملخص
بحسب VulDB • 14/09/2026
يوفر نظام "أكتوبر" (October System) الوحدة النمطية الخاصة بالنظام لنظام إدارة المحتوى "أكتوبر CMS". تحتوي الإصدارات السابقة من 3.7.17 و4.2.21 على ثغرة في سياسة أمان صندوق رمل Twig (Twig sandbox security policy)، مما سمح بتجاوز متسلسل عند تفعيل `cms.safe_mode`. تم تعريض مخزن جلسات Laravel لـ Twig مع وصول غير مقيد إلى الأساليب، ولم يتم حظر طرق SQL الخام القابلة للوصول عبر التوجيه `__call` في Eloquent عبر سلسلة البناء بأكملها. وعند الجمع بين هذين العاملين، يمكن لمستخدم خلفي لديه صلاحية تحرير علامات CMS قراءة قيم قاعدة بيانات عشوائية باستخدام تعبيرات SQL خام والكتابة في مفتاح جلسة المصادقة الخلفية، مما يتيح انتحال جلسة خلفية كمستخدم آخر موجود بالفعل. نطاق التأثير ضيق. يعد وضع الأمان (Safe Mode) ميزة متخصصة تُستخدم بشكل أساسي لتثبيت العروض التجريبية وسيناريوهات تعدد المستأجرين أو المحررين المشتركين حيث يتم منح المستخدمين غير الموثوق بهم الوصول إلى محرر علامات CMS بشكل متعمد. لا تقوم عمليات النشر القياسية في بيئة الإنتاج بتفعيل وضع الأمان، لأنه وفقاً للتوجيهات القياسية لـ October CMS، فإن الوصول الخلفي - بما في ذلك تحرير العلامات - مقصور على المسؤولين الموثوقين فقط، كما أن حقن PHP المباشر من خلال العلامات ممكن بالفعل دون تفعيل وضع الأمان في هذا التكوين. تؤثر هذه المشكلة فقط على المواقع التي تستوفي جميع الشروط التالية: تم تفعيل `cms.safe_mode` (وهو اختيار متعمد للعروض التجريبية أو سيناريوهات المحررين غير الموثوقين)؛ ويحتوي الموقع على مستخدم خلفي واحد على الأقل لديه صلاحية تحرير علامات CMS ولا يُقصد به أن يكون مسؤولاً كاملاً موثوقاً به؛ ويحتوي الموقع على حساب superuser موجود واحد على الأقل يمكن للمستخدم ذي الصلاحيات الأدنى انتحال هويته. تم إصلاح الثغرة في الإصدارين v3.7.17 وv4.2.21. يتم الآن تغليف مخزن جلسات Laravel بوسيط (proxy) يكشف فقط عن مجموعة صريحة محددة من طرق القراءة/الكتابة ويرفض الكتابة إلى بادئات مفاتيح الجلسة المحجوزة (`admin_auth`, `october_auth`, `login_*`, `_token`، وغيرها من المكونات الداخلية للإطار البرمجي). تم حظر طرق SQL الخام وطرق الاستعلام الفرعي (`selectRaw`, `whereRaw`, `orderByRaw`, `joinSub` وما إلى ذلك) على `Query\Builder` و`Eloquent\Builder` و`Eloquent\Model` بحيث تكون قائمة الحظر متسقة عبر سلسلة التوجيه `__call`. يُنصح جميع المواقع التي تفعّل `cms.safe_mode` بالترقية إلى أحدث إصدار مُصلح. يوجد حل بديل متاح: تقييد صلاحية تحرير علامات CMS للمسؤولين الموثوقين بالكامل فقط - وهو التوصية القياسية لـ October CMS لأي عملية نشر. يرجى ملاحظة أن تعطيل `cms.safe_mode` ليس حلاً بديلاً؛ فوضع الأمان هو الحد الذي تؤثر عليه هذه الثغرة، وتعطيله يزيل صندوق الرمل الوحيد بين محرري العلامات والخادم.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.