CVE-2024-52301
لارافيل يسمح بالتلاعب بالبيئة عبر سلسلة الاستعلام
- تم النشر
- 12/11/2024
- محدث
- 21/12/2024
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 25/08/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمتوسط · الثلاثين يومًا القادمة
- المئوية
- 98.8%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
لارافيل هو إطار عمل لتطوير تطبيقات الويب. عندما يتم ضبط توجيه PHP `register_argc_argv` على `on`، ويقوم المستخدمون باستدعاء أي عنوان URL يحتوي على سلسلة استعلام مصممة خصيصًا، فإنهم يتمكنون من تغيير البيئة التي يستخدمها الإطار عند معالجة الطلب. تم إصلاح الثغرة في الإصدارات 6.20.45 و7.30.7 و8.83.28 و9.52.17 و10.48.23 و11.31.0. يتجاهل الإطار الآن قيم `argv` لاكتشاف البيئة على واجهات SAPIs غير الخاصة بسطر الأوامر (non-cli).
المصادر
القليل من البحث حول CVE-2024-52301
استغلال إثبات المفهوم لـ CVE-2024-52301 يوضح التلاعب بالبيئة في Laravel عبر معلمات URL المحقونة، مع تحليل تفصيلي للكود وخطوات إعادة الإنتاج.
- nanwinata-CVE-2024-52301الماسح الضوئي
يفحص بحثًا عن CVE-2024-52301، وهي ثغرة حقن وسائط في Laravel، باستخدام subfinder وhttpx لتحديد تطبيقات الويب المتأثرة.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.