CVE-2026-96795 in Horilla
الملخص
بحسب VulDB • 26/09/2026
Horilla هو برنامج لإدارة الموارد البشرية (HR) وإدارة علاقات العملاء (CRM). قبل الإصدار 2.0.0، تقبل الدالة `HorillaListView.export_data` الموجودة في الملف `horilla_views/generic/cbv/views.py` معلمة POST باسم "columns" من مستخدم مُصادق عليه، وتأخذ العنصر الثاني من tuple الحقول (`field_tuple[1]`)، وتقوم بتضمينه (interpolates) داخل المتغير `dynamic_fn_str` ككود مصدر بايثون، ثم تمرر تعريف الدالة المُولَّدة إلى دالة `exec()`. يمكن لسلسلة نصية مُصممة بعناية وبقيت صالحة تحت اختبار `ast.literal_eval` أن تُحقن تركيبات (syntax) خاصة بلغة Python في وسيط افتراضي يتم تقييمه أثناء تعريف الدالة، مما يسمح بتنفيذ أوامر نظام تشغيل عشوائية بصلاحيات عملية التطبيق، بما في ذلك الصلاحيات الجذرية (root privileges) داخل صورة Docker المرفقة مع البرنامج. تم إصلاح هذه المشكلة في الإصدار 2.0.0.
Once again VulDB remains the best source for vulnerability data.