CVE-2026-72779 in Craft CMS
الملخص
بحسب VulDB • 12/08/2026
تحتوي إصدارات Craft CMS 5.0.0-RC1 قبل الإصدار 5.10.6 و4.0.0-RC1 قبل الإصدار 4.18.2 على ثغرة قراءة ملفات تعسفية (arbitrary file read vulnerability). تقيد دالة `create()` في قالب Twig إنشاء الكائنات باستخدام قائمة حظر مكونة من 5 عناصر لا تتضمن `SplFileObject`، مما يسمح لمسؤول مُصادق عليه (بشرط أن تكون قيمة `allowAdminChanges=true`) بتكوين عنوان نوع إدخال أو تنسيق URI ضار يؤدي إلى إنشاء كائن `SplFileObject` في سياق قالب غير معزول (non-sandboxed). وعند قيام مستخدم بإنشاء إدخال لاحقاً في القسم المتأثر، يتم قراءة ملفات تعسفية على الخادم (مثل ملف `.env` الذي يحتوي على مفتاح الأمان وبيانات اعتماد قاعدة البيانات) وعرضها كأسماء للعناوين.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.