24520597-blip/cve-2026-999999
X-Trading Portal v1.4.2 के डैशबोर्ड मेटाडेटा रेंडरिंग इंजन में एक गंभीर सर्वर-साइड टेम्पलेट इंजेक्शन (SSTI) कमजोरी मौजूद है। यह दोष आंतरिक Smarty टेम्पलेट पार्सर द्वारा प्रोसेस किए जाने से पहले username और widget_label फील्ड्स में उपयोगकर्ता-नियंत्रित इनपुट के अनुचित स्वच्छीकरण के कारण होता है।
इस रिपॉजिटरी में एक्स-ट्रेडिंग पोर्टल (XTP) के लिए मुख्य वितरण और तैनाती कॉन्फ़िगरेशन शामिल हैं, जो खुदरा बैंकिंग और स्टॉक ट्रेडिंग सेवाओं के लिए डिज़ाइन किया गया एक कंटेनरीकृत समाधान है। इस संस्करण (v1.4.2) में अपडेटेड डैशबोर्ड UI और नया उपयोगकर्ता मेटा-डेटा रेंडरिंग इंजन शामिल है।
/login.php: केंद्रीय प्रमाणीकरण गेटवे।/dashboard/: प्राथमिक उपयोगकर्ता इंटरफ़ेस।/dashboard/settings: उपयोगकर्ता-अनुकूलन योग्य विजेट कॉन्फ़िगरेशन (widget_label और dashboard_theme को संभालता है)।/profile_view.php: Smarty इंजन का उपयोग करके आंतरिक खाता मेटाडेटा रेंडरर।/api/v1/trade/: लेन-देन प्रसंस्करण के लिए REST API।सिस्टम सर्वर-साइड टेम्पलेट रेंडरिंग का उपयोग करता है ताकि संस्थागत ग्राहक सीधे पोर्टल डैशबोर्ड में कस्टम CSS और MOTD (दिन का संदेश) बैनर इंजेक्ट कर सकें। सुनिश्चित करें कि templates_c निर्देशिका में PHP-FPM प्रक्रिया के लिए उपयुक्त लेखन अनुमतियाँ हों।
सूचना: यह रिपॉजिटरी आंतरिक वित्तीय बुनियादी ढाँचे का हिस्सा है। स्थानीय साइबर सुरक्षा नियमों के तहत अनधिकृत पहुँच सख्त वर्जित है।