PT-2025-43406
CVE-2025-62611
·
تاريخ النشر
2025-10-22
·
تاريخ التحديث
2026-10-05
الوصف من
CVSS 2.0
10
عاليةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات aiomysql الأقدم من 0.3.0
الوصف
لا يقوم aiomysql بالتحقق بشكل صحيح من إعدادات جانب العميل قبل نقل الملفات المحلية إلى خادم MySQL. وهذا يسمح لخادم ضار بطلب ملفات عشوائية من العميل عند إرسال حزمة أوامر LOAD LOCAL، مما يؤدي فعليًا إلى التحايل على إجراءات الأمان. يمكن لخادم MySQL ضار محاكاة التفويض وتجاهل علامات العميل وسرقة ملفات العميل. تؤثر هذه المشكلة على البيئات التي تتصل بخوادم MySQL غير موثوقة أو مخترقة. يثبت نموذج إثبات المفهوم القدرة على قراءة الملفات من جهاز العميل باستخدام خادم MySQL ضار ومكتبة aiomysql، حتى عندما يكون الخيار
local infile معطلاً صراحةً من جانب العميل. يسجل الخادم الضار عمليات قراءة الملفات الناجحة ويحفظ المحتوى في دليل محدد.التوصيات
يجب تحديث الإصدارات الأقدم من 0.3.0 إلى الإصدار 0.3.0 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾