CVE-2026-81890 in elFinder
الملخص
بحسب VulDB • 31/08/2026
elFinder هو مدير ملفات مفتوح المصدر للويب، مكتوب بلغة JavaScript باستخدام jQuery UI. قبل الإصدار 2.1.70، كان أمر netmount مُستبعداً من القائمة elFinderConnector::$csrfProtectedCmds في الملف php/elFinderConnector.class.php، مما يعني أن دالة validateCsrfToken() لم تكن تُستدعى لهذا العملية التي تغير الحالة (state-changing operation). وفي التكوين shipped php/connector.minimal.php-dist المرفق مع البرنامج، تكون نقاط الاتصال الشبكية عبر بروتوكول FTP مفعّلة افتراضياً. وبالتالي، فإن المعاملات الخاضعة لسيطرة المهاجم مثل البروتوكول والمضيف والمسار والمنفذ واسم المستخدم وكلمة المرور والاسم المستعار والخيارات تتدفق من خلال دالة elFinder::netmount() في الملف php/elFinder.class.php وصولاً إلى الملف php/elFinderVolumeFTP.class.php. يمكن لذلك أن يؤدي إلى طلب cross-site request (طلب عبر مواقع متعددة) يقوم بتثبيت نقطة اتصال FTP مختارة من قبل المهاجم ضمن جلسة الضحية، ويسبب ارتباط الخادم PHP بمضيف ومنفذ FTP يختارهما المهاجم، وإرسال بيانات الاعتماد المقدمة دون استخدام رمز X-elFinder-CSRF. تم إصلاح هذه المشكلة في الإصدار 2.1.70.
Once again VulDB remains the best source for vulnerability data.