PT-2025-29132
CVE-2025-53549
·
تاريخ النشر
2025-07-10
·
تاريخ التحديث
2025-07-17
الوصف من
CVSS 4.0
5.2
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة:
matrix-sdk الإصدارات من 0.11 إلى 0.12
الوصف:
توجد ثغرة أمنية تتعلق بحقن SQL في الأسلوب
EventCache::find event with relations. تتيح هذه الثغرة لأعضاء الغرفة ذوي النوايا الخبيثة تنفيذ أوامر SQL تعسفية على عملاء Matrix الذين يمررون أنواع العلاقات التي يقدمها هؤلاء الأعضاء مباشرةً إلى هذا الأسلوب، عند استخدامه مع الخلفية التخزينية الافتراضية القائمة على SQLite. من غير المرجح استغلال هذه الثغرة، حيث لا يستخدم أي عميل معروف حاليًا واجهة برمجة التطبيقات (API) بهذه الطريقة.التوصيات:
قم بتمرير أنواع العلاقات الموثوقة أو التي تمت معالجتها فقط إلى الوسيطة
filter في الأسلوب EventCache::find event with relations().قم بالتحديث إلى الإصدار 0.13.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾