PT-2025-26258
CVE-2025-48059
·
تاريخ النشر
2025-06-19
·
تاريخ التحديث
2025-06-21
الوصف من
CVSS 4.0
2.7
منخفضةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:U/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
com.powsybl:powsybl-iidm-criteria الإصدارات من 6.3.0 حتى 6.7.1
com.powsybl:powsybl-contingency-api الإصدارات من 5.0.0 حتى 5.0.0
الوصف:
تتمثل المشكلة في ثغرة أمنية محتملة لرفض الخدمة عن طريق التعبير العادي البولينومي (ReDoS) في فئة RegexCriterion. تقوم هذه الفئة بتجميع وتقييم تعبير عادي غير مصدق عليه، مقدم من المستخدم، مقابل معرف كائن Identifiable عبر Pattern.compile(regex).matcher(id).find(). في حالة استغلالها بنجاح، يمكن لمهاجم خبيث أن يتسبب في استنزاف كبير لموارد وحدة المعالجة المركزية (CPU) من خلال استدعاءات متكررة أو متكررة لـ filter(...) — خاصةً إذا تم تنفيذها في نماذج شبكات كبيرة أو عمليات تصفية.
التوصيات:
بالنسبة لإصدارات com.powsybl:powsybl-iidm-criteria من 6.3.0 حتى 6.7.1، قم بالتحديث إلى الإصدار 6.7.2 أو أعلى.
بالنسبة لإصدارات com.powsybl:powsybl-contingency-api من 5.0.0، قم بالتحديث إلى إصدار أعلى من 5.0.0؛ ومع ذلك، لم يتم تحديد الإصدار المصحح بالضبط لهذا المكون.
كحل مؤقت، ضع في اعتبارك تقييد استخدام فئة RegexCriterion حتى يتوفر تصحيح.
تجنب استخدام التعبيرات النمطية غير الموثوقة والمعرفات التي قد تكون تحت سيطرة المهاجمين في فئة RegexCriterion لتقليل مخاطر الاستغلال إلى أدنى حد.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾