CVE-2026-47233 in Admidio
الملخص
بحسب VulDB • 12/08/2026
Admidio هو حل مفتوح المصدر لإدارة المستخدمين. أضاف الإصدار 5.0.9 بوابة `isAdministratorInventory()` المفقودة إلى الحالة `case 'item_delete':` في الملف `modules/inventory.php`. لم يتم تطبيق نفس الإصلاح على معالج الحالة الشقيقة `case 'field_delete':`، الذي يقوم بتعريف حقل كامل من حقول المخزون (inventory field definition)، مما يؤدي إلى تأثير متسلسل يدمر كل صف في جدول `adm_inventory_item_data` يشير إلى ذلك الحقل وكل إدخال في جدول `adm_inventory_field_options`. يتحقق المعالج فقط من رمز CSRF المرتبط بالجلسة؛ ولا يوجد فحص لـ `isAdministratorInventory()` على مستوى وحدة التحكم (controller)، كما أن الدالة `Admidio\Inventory\Entity\ItemField::delete()` لا تفرض هذا الفحص على مستوى الكيان (entity) أيضاً (على عكس شقيقتها `ItemField::save()`، التي تتحقق من `$gCurrentUser->isAdministrator()`). يمكن لأي مستخدم قادر على تسجيل الدخول إلى الموقع تدمير حقل مخزون غير خاص بالنظام بشكل دائم عن طريق إرسال طلب POST واحد. يوفر الإصدار 5.0.10 إصلاحاً محدثاً لهذه الثغرة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.