CVE-2026-44011
Craft CMS: احتمال تنفيذ تعليمات برمجية عن بُعد بعد المصادقة عبر Behavior مرفق ضار
- تم النشر
- 12/05/2026
- محدث
- 13/05/2026
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 29/09/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 37.3%
- تاريخ الموديل
- 23/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
Craft CMS هو نظام إدارة محتوى (CMS). من الإصدار 4.0.0 إلى ما قبل 4.17.12 و5.9.18، يحتوي Craft CMS على خلل في معالجة المدخلات في مسار إنشاء كائنات Yii، مما يسمح لأي مستخدم مُصادَق عليه بحقن إعدادات ضارة وتنفيذ أوامر عشوائية على الخادم. يتم تحويل بيانات تخطيطات الحقول الخاضعة للتحكم في الطلب إلى كائن FieldLayout حي دون حدود Component::cleanseConfig(). ولأن Craft يهيّئ النماذج قبل parent::__construct()، يمكن لمفاتيح الإعدادات الخاصة التي يتحكم بها المهاجم أن تصبح فعّالة أثناء إنشاء الكائن، ثم يؤدي تهيئة FieldLayout إلى تشغيل حدث في نفس الطلب. تم إصلاح هذه الثغرة في 4.17.12 و5.9.18.
المصادر
استغلال إثبات المفهوم للثغرة CVE-2026-44011: تنفيذ التعليمات عن بُعد في Craft CMS باستخدام مستخدم مُصادَق عليه.
إثبات مفهوم بلغة Python للثغرة CVE-2026-44011 في Craft CMS، يستغل تنفيذ التعليمات البرمجية عن بُعد بعد المصادقة مع تنفيذ الأوامر وحمولات reverse shell المُغلَّفة بـ base64.
PoC لتنفيذ التعليمات البرمجية عن بُعد (RCE) في Craft CMS بعد المصادقة للثغرة CVE-2026-44011
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.