PT-2025-30308
CVE-2025-53832
·
تاريخ النشر
2025-07-21
·
تاريخ التحديث
2025-07-22
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات
@translated/lara-mcp 0.0.11 وما دونهاالوصف
توجد ثغرة أمنية تتعلق بحقن الأوامر في خادم MCP
@translated/lara-mcp بسبب الاستخدام غير المُعقم لمعلمات الإدخال في استدعاء child process.exec. قد يؤدي الاستغلال الناجح لهذه الثغرة إلى تنفيذ التعليمات البرمجية عن بُعد بامتيازات عملية الخادم. يقوم الخادم بإنشاء وتنفيذ أوامر شل باستخدام مدخلات مستخدم غير مصدقة، مما يفتح الباب أمام إمكانية حقن أحرف شل الخاصة. يمكن للمهاجم استغلال هذه الثغرة الأمنية عن طريق الحقن غير المباشر لموجه الأوامر، من خلال إنشاء مدخلات ضارة داخل الملفات أو مصادر البيانات البعيدة التي يعالجها الخادم. وهذا يسمح بتنفيذ أوامر تعسفية على الجهاز المضيف.التوصيات
إصدارات
@translated/lara-mcp الأقدم من 0.0.12: تجنب استخدام child process.exec مع مدخلات غير موثوقة. بدلاً من ذلك، استخدم واجهة برمجة تطبيقات (API) أكثر أمانًا، مثل child process.execFile، التي تسمح بتمرير الوسيطات كمصفوفة منفصلة، مما يتجنب تفسير الشل تمامًا. على سبيل المثال، استبدل execAsync(curl -L ”${tmx url}“ -o ”${tempFilePath}“); بـ execAsync(’curl‘, ”-L“, tmx url, ”-o“, tempFilePath);.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾