یک نقص امنیتی در Furion .NET Framework نسخه‌های تا 4.9.9.95 شناسایی شده است که می‌تواند منجر به حملات از راه دور شود. این آسیب‌پذیری در بخش View Engine و به‌طور مشخص در تابع RunCompile در فایل ViewEngine.cs رخ می‌دهد.
جزئیات فنی آسیب‌پذیری
این مشکل ناشی از عدم خنثی‌سازی مناسب (Improper Neutralization) المان‌های خاص در Template Engine است. در نتیجه، یک مهاجم می‌تواند با دستکاری آرگومان content، کدهای مخرب را از طریق موتور قالب‌ساز تزریق کرده و آن‌ها را اجرا کند. این نوع آسیب‌پذیری معمولاً تحت عنوان Server-Side Template Injection (SSTI) شناخته می‌شود.
وضعیت تهدید و ریسک
- بردار حمله: این حمله به‌صورت Remote (از راه دور) قابل اجراست.
- وضعیت اکسپلویت: اکسپلویت این آسیب‌پذیری به‌صورت عمومی منتشر شده است و احتمال استفاده از آن در حملات واقعی بسیار زیاد است.
- سطح شدت: متوسط (Medium).
به کاربران و توسعه‌دهگانی که از این فریم‌ورک استفاده می‌کنند توصیه می‌شود هرچه سریع‌تر وضعیت نسخه‌های مورد استفاده خود را بررسی کرده و در صورت موجود بودن، به نسخه‌های امن به‌روزرسانی کنند.
