PT-2025-47521
CVE-2025-51661
·
تاريخ النشر
2025-11-19
·
تاريخ التحديث
2025-11-21
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات FileCodeBox الأقدم من 2.3
الوصف
توجد ثغرة تتعلق باجتياز المسار في FileCodeBox تتيح الكتابة في ملفات عشوائية. ويحدث ذلك عندما يتم تكوين التطبيق لاستخدام التخزين المحلي في نظام الملفات. تستخدم الدالة
SystemFileStorage.save file الموجودة في ملف core/storage.py أسماء الملفات التي يدخلها المستخدم دون التحقق منها بشكل صحيح لإنشاء save path، مما يؤدي إلى احتمال كتابة الملفات خارج الدليل المقصود. يمكن للمهاجمين استغلال هذه الثغرة عن طريق إرسال طلبات POST مصممة خصيصًا تحتوي على تسلسلات تجاوز خبيثة إلى نقطة نهاية واجهة برمجة التطبيقات (API) /share/file/upload. لا تتطلب نقطة النهاية هذه أي تفويض، مما يمكّن المهاجمين عن بُعد من كتابة الملفات بشكل تعسفي.التوصيات
تحديث FileCodeBox إلى الإصدار 2.3 أو أحدث.
كحل مؤقت، تقييد الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API)
/share/file/upload.ضمان التحقق الصحيح من أسماء الملفات المستلمة من مدخلات المستخدم قبل إنشاء مسارات الملفات.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾