PT-2025-3906
CVE-2025-0473
·
تاريخ النشر
2025-01-16
·
تاريخ التحديث
2025-01-18
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
الإصدارات 4.0.10 وما فوق من منصة PMB
الوصف
تكمن المشكلة في وظيفة تحميل الملفات في نقطة النهاية
/pmb/authorities/import/iimport authorities. عند إرسال ملف عبر هذه الميزة، يقوم الخادم بإنشاء ملف مؤقت من المفترض حذفه بعد أن يرسل العميل طلب POST إلى /pmb/authorities/import/iimport authorities. ومع ذلك، يمكن للمهاجم اعتراض وإرسال طلب POST الثاني لمنع حذف الملف المؤقت. وهذا يسمح للمهاجم بالاحتفاظ بالملفات المؤقتة على الخادم.التوصيات
بالنسبة للإصدارات 4.0.10 وما فوق من منصة PMB، كإجراء تجنبي مؤقت، يُنصح بتقييد الوصول إلى نقطة النهاية
/pmb/authorities/import/iimport authorities لتقليل مخاطر الاستغلال. بالإضافة إلى ذلك، تجنب استخدام وظيفة تحميل الملفات حتى يتوفر تصحيح لهذا الخلل. في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾