PT-2025-11299
CVE-2024-54449
·
تاريخ النشر
2025-03-14
·
تاريخ التحديث
2025-11-07
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
LogicalDOC (الإصدارات المتأثرة غير محددة)
الوصف
تحتوي واجهة برمجة التطبيقات (API) الخاصة بالتطبيق، والمستخدمة للتفاعل مع المستندات، على نقطتي نهاية (endpoints) بهما ثغرة تسمح لمهاجم معتمد بتسجيل ملف بمحتوى محدد في موقع عشوائي ضمن نظام الملفات الأساسي. ويمكن استغلال ذلك لتسهيل تنفيذ التعليمات البرمجية عن بُعد (RCE). يتطلب الاستغلال حسابًا يتمتع بامتيازات «القراءة» و«الكتابة» على مستند واحد على الأقل موجود داخل التطبيق. ومن شأن الاستغلال الناجح أن يسمح للمهاجم بتنفيذ أوامر على نظام التشغيل الأساسي لخادم الويب الذي يعمل عليه LogicalDOC. تسمح نقاط النهاية المعرضة للخطر في واجهة برمجة التطبيقات (API) بتسجيل الملفات بشكل تعسفي. ويتحكم المهاجم في «محتوى الملف».
التوصيات
في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾