CVE-2026-41887

Flarum açık kaynaklı bir forum yazılımıdır. 1.8.16 ve 2.0.0-rc.1 versiyonlarından önce, Flarum'un CVE-2023-27577 için yayınladığı yama custom_less ayarındaki @import ve data-uri() LESS özelliklerini kısıtlamıştı; ancak aynı kısıtlama, LESS yapılandırma değişkenleri olarak kaydedilen diğer ayarlara (örneğin theme_primary_color ve theme_secondary_color ile Extend\Settings::registerLessConfigVar() aracılığıyla kaydedilen herhangi bir anahtar) hiçbir zaman uygulanmadı. Bu değerler derleme zamanında doğrudan LESS kaynağına dahil edildiğinden, kimliği doğrulanmış bir yönetici, derlenen forum.css dosyasına rastgele bir @import direktifi enjekte eden bir tema rengi değeri oluşturabilir. Alttaki LESS ayrıştırıcısı @import (inline) '<path>' ifadesini kabul ettiği için, bir saldırgan PHP işlemi tarafından erişilebilen rastgele dosyaları okuyabilir (yerel dosya dahil etme - local file inclusion) veya dışa dönük HTTP(S) isteklerini tetikleyebilir (sunucu taraflı istek sahteciliği - server-side request forgery). Bu sorun 1.8.16 ve 2.0.0-rc.1 versiyonlarında giderilmiştir.