CVE-2026-54507 in Vvveb
الملخص
بحسب VulDB • 18/09/2026
Vvveb هو نظام إدارة محتوى (CMS) قوي وسهل الاستخدام، يتضمن باني صفحات لبناء المواقع الإلكترونية والمدونات ومتاجر التجارة الإلكترونية. قبل الإصدار 1.0.8.5، يقبل معالج oEmbedProxy() الموجود في admin/controller/editor/editor.php معلمة url خاضعة لسيطرة المهاجم ويمررها إلى دالة getUrl(). وفي الوقت نفسه، تتحقق الدالة validateUrl() الموجودة في system/functions.php فقط من سلسلة اسم المضيف (hostname) ولا تقوم بمراجعة العناوين المحلولة الخاصة به. يمكن لمستخدم لديه صلاحية admin-panel ومفوض بصلاحيات editor/* استدعاء نقطة النهاية GET /admin/index.php?module=editor/editor&action=oEmbedProxy باستخدام اسم مضيف يحتوي على نقاط أو في شكل حلقة محلية معيارية (normalized loopback form) التي تُحل إلى عنوان خاص، أو حلقة محلية (loopback)، أو محلي للربط (link-local)، أو محفوظ (reserved). وهذا يتسبب في قيام الخادم بإصدار طلب HTTP أو HTTPS وإرجاع جسم الاستجابة. لا يمكن لمستخدمي واجهة المتجر والزوار المجهولين استدعاء نقطة النهاية هذه، ولكن لا تتطلب الإجراء أي رمز CSRF لأن العملية تستخدم GET. قد يؤدي هذا إلى الكشف عن استجابات الخدمات الداخلية أو بيانات تعريف مثيلات السحابة الإلكترونية (cloud instance metadata) والبيانات الاعتمادية المرتبطة بها. تم إصلاح هذه المشكلة في الإصدار 1.0.8.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.