CVE-2026-41887

Flarum açıq mənbəli forum proqram təminatıdır. 1.8.16 və 2.0.0-rc.1 versiyalarından əvvəl Flarum-un CVE-2023-27577 üçün yaması custom_less parametrində @import və data-uri() LESS funksiyalarını məhdudlaşdırırdı, lakin eyni məhdudiyyət LESS konfiqurasiya dəyişənləri kimi qeydiyyatdan keçmiş digər parametrlərə (məsələn theme_primary_color və theme_secondary_color, həmçinin Extend\Settings::registerLessConfigVar() vasitəsilə qeydiyyatdan keçmiş istənilən açar) heç vaxt tətbiq edilməmişdi. Bu dəyərlər kompilyasiya zamanı LESS mənbəyinə olduğu kimi interpolasiya olunur və autentifikasiyadan keçmiş administratora kompilyasiya edilmiş forum.css faylına ixtiyari @import direktivini yeridən tema rəngi dəyəri yaratmağa imkan verir. Əsas LESS parseri @import (inline) '<path>' sintaksisini dəstəklədiyi üçün hücumçu PHP prosesi üçün əlçatan olan ixtiyari faylları oxuya (lokal fayl daxil etmə) və ya xarici HTTP(S) sorğularını işə sala (server tərəfində sorğu saxtalaşdırması) bilər. Bu problem 1.8.16 və 2.0.0-rc.1 versiyalarında yamaqlanmışdır.