Codebymoriarty

Astral uv before 0.11.6 contains a path traversal vulnerability that allows attackers to delete arbitrary files by supplying wheels with relative traversal paths in RECORD entries. Attackers can craft a malicious wheel whose RECORD references files outside the installation prefix, causing uv to delete those files when the user uninstalls the package.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات n8n الأقدم من 2.28.0 إصدارات n8n الأقدم من 1.123.58 **الوصف** يمكن للمستخدم المصادق عليه التسبب في استنفاد مساحة القرص عبر نقطة نهاية تحميل ملفات جدول البيانات. تحدث هذه المشكلة لأن فحص الحصة المخصصة لكل طلب لا يأخذ في الاعتبار الملفات التي تمت كتابتها بالفعل إلى الدليل المؤقت المشترك، مما يسمح بتراكم الملفات على قرص المضيف حتى يتم إجراء عملية تنظيف دورية. **التوصيات** قم بالتحديث إلى الإصدار 2.28.0 أو أحدث. قم بالتحديث إلى الإصدار 1.123.58 أو أحدث.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Rack السابقة للإصدارات 2.2.23 و3.1.21 و3.2.6 الوصف تستخدم مكونة `Rack::Multipart::Parser` في Rack تعبيرًا منتظمًا «جشعًا» لاستخراج المعلمة `boundary` من `multipart/form-data`. عندما يحتوي رأس `Content-Type` على عدة معلمات `boundary`، يختار Rack آخرها بدلاً من الأولى. قد يسمح هذا التباين للمهاجم بتهريب محتوى متعدد الأجزاء متجاوزًا الفحص في المرحلة الأولية إذا قام وكيل أو جدار حماية الويب (WAF) أو وسيط في المرحلة الأولية بتفسير معلمة `boundary` الأولى، مما يؤدي إلى قيام Rack بتحليل بنية نص أساسي مختلفة عن تلك التي تحقق من صحتها الوسيط. وقد يؤدي ذلك إلى تجاوز حقول النماذج الضارة أو المحتوى الذي تم تحميله لعمليات التصفية في المرحلة الأولية. تكون هذه المشكلة أكثر أهمية في عمليات النشر ذات الطبقات حيث تُتخذ قرارات الأمان قبل وصول الطلب إلى Rack. التوصيات التحديث إلى إصدار Rack 2.2.23 أو أحدث. التحديث إلى إصدار Rack 3.1.21 أو أحدث. التحديث إلى إصدار Rack 3.2.6 أو أحدث.