PT-2025-12289
CVE-2024-9617
·
تاريخ النشر
2025-03-20
·
تاريخ التحديث
2025-03-20
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
danswer-ai/danswer الإصدار 0.3.94
الوصف
تسمح هذه الثغرة للمهاجم بعرض أي ملفات بسبب عدم التحقق مما إذا كان المهاجم هو من أنشأ الملف. يمكن استغلال هذه الثغرة من خلال استدعاء واجهة GET /api/chat/file/{file id} مباشرةً لعرض ملف أي مستخدم. تُستخدم المتغير
file id في هذه العملية.التوصيات
بالنسبة إلى danswer-ai/danswer الإصدار 0.3.94، يُنصح بتقييد الوصول إلى واجهة GET /api/chat/file/{file id} حتى يتوفر تصحيح، أو تنفيذ آلية تحقق لضمان أن يكون منشئ الملف هو الوحيد الذي يمكنه الوصول إليه.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾