CVE-2026-36239

CVE-2026-36239: RCE مُوثَّق في الواجهة الخلفية لـ PbootCMS v3.2.12 (sitecopyright) نظرة عامة على الثغرة:
تم تحديد ثغرة حرجة في تنفيذ الأوامر عن بعد (RCE) في وظيفة sitecopyright بواجهة إدارة PbootCMS الخلفية. على وجه التحديد، يتم إدخال غير موثوق به عبر حقل "معلومات التذييل" دون تنقية كافية قبل معالجته وعرضه على الصفحات الأمامية. يمكن لمسؤول مُوثَّق—قد تكون جلسته مخترقة أو قد يكون ضحية لهندسة اجتماعية—أن يُدخل عن غير قصد كود PHP خبيث. عند عرض الصفحة الأمامية، يتم تنفيذ هذا الكود في سياق تشغيل الخادم، مما يتيح السيطرة الكاملة على النظام.

تفاصيل الثغرة:

• المكون المُعرَّض: دالة decode_string() في الملف /apps/home/controller/ParserController.php (السطر 261)
• السبب الجذري: إلغاء تسلسل غير آمن ومعالجة المخرجات—على وجه التحديد، التطبيق المتسلسل لـ stripcslashes() يليه htmlspecialchars_decode() يعكس فعليًا ترميز كيانات HTML وتسلسلات الهروب، مما يعيد كود PHP القابل للتنفيذ الذي يتم بعد ذلك كتابته مباشرة في قالب الإخراج دون تحقق أو عزل.
• السياق المُتأثر: أي صفحة أمامية تستخدم وسم القالب {pboot:sitecopyright}.

سير العمل للاستغلال:

1. يحصل المهاجم على وصول مُوثَّق إلى الواجهة الخلفية الإدارية (على سبيل المثال، عبر إعادة استخدام بيانات الاعتماد، اختطاف الجلسة، أو التصيد).