PT-2025-26301
CVE-2025-4981
·
تاريخ النشر
2025-05-12
·
تاريخ التحديث
2026-05-25
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Mattermost من 10.5.x حتى 10.5.5
إصدارات Mattermost من 9.11.x حتى 9.11.15
إصدارات Mattermost من 10.8.x حتى 10.8.0
إصدارات Mattermost من 10.7.x حتى 10.7.2
إصدارات Mattermost من 10.6.x حتى 10.6.5
الوصف
يفشل Mattermost في تنقية أسماء الملفات في أداة استخراج الملفات المضغوطة، مما يسمح للمستخدمين المصادق عليهم بتخزين الملفات في مواقع عشوائية في نظام الملفات عن طريق تحميل ملفات مضغوطة تحتوي على تسلسلات لاجتياز المسار في أسماء الملفات، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE). تؤثر هذه المشكلة على المثيلات التي يتم فيها تمكين تحميل الملفات والبحث عن المستندات حسب المحتوى (FileSettings.EnableFileAttachments = true و FileSettings.ExtractContent = true)، وهما ميزةان مفعّلتان افتراضيًا. تم تحديد ما يقارب 97,000+ و 113,000+ مثيلًا قد تكون متأثرة.
التوصيات
إصدارات Mattermost من 10.5.x حتى 10.5.5: قم بالتحديث إلى إصدار أحدث ومُصحح.
إصدارات Mattermost من 9.11.x حتى 9.11.15: قم بالتحديث إلى إصدار أحدث ومُصحح.
إصدارات Mattermost من 10.8.x حتى 10.8.0: قم بالتحديث إلى إصدار أحدث ومُصحح.
إصدارات Mattermost من 10.7.x حتى 10.7.2: قم بالتحديث إلى إصدار أحدث ومُصحح.
إصدارات Mattermost من 10.6.x حتى 10.6.5: قم بالتحديث إلى إصدار أحدث ومُصحح.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾