PT-2025-39067
CVE-2025-59433
·
تاريخ النشر
2025-09-22
·
تاريخ التحديث
2026-10-19
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Conventional Changelog الأقدم من 2.0.0
الوصف
تحتوي مكتبة @conventional-changelog/git-client، في الإصدارات الأقدم من 2.0.0، على ثغرة في واجهة برمجة التطبيقات (API)
getTags() تسمح بحقن المعلمات في الأمر git log. ويحدث ذلك لأن واجهة برمجة التطبيقات (API) لا تقوم بتنقية مدخلات المستخدم، ولا تتحقق من صحة المعلمات، ولا تستخدم بشكل صحيح أحرف POSIX المكونة من شرطتين (--) للإشارة إلى نهاية الخيارات عند تمرير علامات سطر الأوامر إلى الملف الثنائي git. وعلى وجه التحديد، يمكن استغلال خيار سطر الأوامر --output= لكتابة ملفات عشوائية فوق ملفات موجودة. تطبق واجهة برمجة التطبيقات getRawCommits() ممارسات آمنة لمنع حقن المعلمات، لكن هذه الممارسات لا تُطبق على getTags(). يتضمن الاستغلال تزويد الدالة getTags() بمعلمات ضارة، مما قد يؤدي إلى إنشاء أو الكتابة فوق ملفات في النظام، بما في ذلك ملفات التكوين الحساسة، في حالة تشغيل التطبيق بامتيازات عالية.التوصيات
قم بالتحديث إلى الإصدار 2.0.0 أو أعلى من Conventional Changelog.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾