PT-2025-30061
CVE-2025-7783
·
تاريخ النشر
2025-07-18
·
تاريخ التحديث
2026-09-29
الوصف من
CVSS 4.0
9.4
حرجةالمقاييسAV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات form-data الأقل من 2.5.4
إصدارات form-data من 3.0.0 إلى 3.0.3
إصدارات form-data من 4.0.0 إلى 4.0.3
الوصف
توجد ثغرة أمنية في مكتبة JavaScript form-data بسبب استخدام قيم غير عشوائية بما فيه الكفاية عند إنشاء قيم boundary للبيانات المشفرة في النماذج متعددة الأجزاء. تتيح هذه القابلية للتنبؤ للمهاجمين التلاعب بطلبات HTTP، مما قد يؤدي إلى حقن معلمات ضارة في أنظمة الخلفية. تنشأ هذه الثغرة من استخدام المكتبة لدالة
Math.random()، المعروفة بأنها شبه عشوائية وقابلة للتنبؤ. يمكن للمهاجم الذي يتمكن من مراقبة قيم Math.random() التي يولدها التطبيق توقع القيم المستقبلية، بما في ذلك قيمة الحد، وإنشاء حمولة خبيثة. وقد يؤدي ذلك إلى تلوث معلمات HTTP (HPP) وربما إلى التنفيذ البعيد للكود (RCE). تتطلب هذه الثغرة الأمنية أن يستخدم التطبيق form-data مع بيانات يتحكم فيها المستخدم، وأن يعرض قيم Math.random().التوصيات
قم بالتحديث إلى الإصدار 4.0.4 من form-data.
قم بالتحديث إلى الإصدار 3.0.4 من form-data.
قم بالتحديث إلى الإصدار 2.5.4 من form-data.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾