24520597-blip/cve-2026-999999توجد ثغرة حرجة من نوع حقن القوالب من جانب الخادم (SSTI) في محرك عرض البيانات الوصفية للوحة التحكم في X-Trading Portal v1.4.2. يرجع الخلل إلى عدم تعقيم المدخلات التي يتحكم بها المستخدم في حقلي اسم المستخدم و widget_label بشكل صحيح قبل معالجتها بواسطة محلل قوالب Smarty الداخلي.
يحتوي هذا المستودع على توزيع أساسي وتكوينات النشر لـ X-Trading Portal (XTP)، وهو حل معبأ في حاويات مصمم لخدمات الخدمات المصرفية للأفراد وتداول الأسهم. يتضمن هذا الإصدار (v1.4.2) واجهة المستخدم المحدثة للوحة التحكم ومحرك عرض البيانات الوصفية الجديد للمستخدم.
/login.php: بوابة المصادقة المركزية./dashboard/: واجهة المستخدم الأساسية./dashboard/settings: إعدادات الأدوات القابلة للتخصيص من قبل المستخدم (تتعامل مع widget_label و ).dashboard_theme/profile_view.php: عارض البيانات الوصفية للحساب الداخلي باستخدام محرك Smarty./api/v1/trade/: واجهة برمجة تطبيقات REST لمعالجة المعاملات.يستخدم النظام عرض القوالب من جانب الخادم للسماح للعملاء المؤسسيين بحقن CSS مخصص ولافتات MOTD (رسالة اليوم) مباشرة في لوحة التحكم الخاصة بالبوابة. تأكد من أن دليل templates_c لديه أذونات كتابة مناسبة لعملية PHP-FPM.
ملاحظة: هذا المستودع جزء من البنية التحتية المالية الداخلية. يُحظر الوصول غير المصرح به بموجب لوائح الأمن السيبراني المحلية.