PT-2025-16363
CVE-2025-32779
·
تاريخ النشر
2025-04-15
·
تاريخ التحديث
2025-10-27
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:N/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات E.D.D.I الأقدم من 5.5.0
الوصف
تتعلق المشكلة بثغرة أمنية من نوع «Zip Slip» في برنامج الوسيط E.D.D.I، الذي يقوم بتوصيل وإدارة روبوتات واجهة برمجة التطبيقات (API) الخاصة بـ LLM. يمكن للمهاجم الذي يتمتع بإمكانية الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) ”/backup/import“ كتابة ملفات عشوائية في مواقع خارج دليل الاستخراج المقصود. على الرغم من أن التطبيق يعمل كمستخدم غير جذر، مما يحد من التأثير المباشر على ملفات مستوى النظام، إلا أنه لا يزال من الممكن استغلال هذه الثغرة الأمنية للكتابة فوق ملفات التطبيق، مثل مكتبات JAR، التي تخص مستخدم التطبيق. وقد تؤدي عملية الكتابة فوق هذه الملفات إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) ضمن سياق التطبيق.
التوصيات
بالنسبة للإصدارات الأقدم من 5.5.0، قم بالتحديث إلى الإصدار 5.5.0 لحل المشكلة. كإجراء مؤقت، ضع في اعتبارك تقييد الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) ”/backup/import“ لتقليل مخاطر الاستغلال. بالإضافة إلى ذلك، قد يساعد تقييد الوصول إلى مكونات البرمجيات الوسيطة المعرضة للثغرة في التخفيف من المخاطر حتى يتم تطبيق التصحيح.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾