PT-2025-48397
CVE-2025-35028
·
تاريخ النشر
2025-11-30
·
تاريخ التحديث
2025-12-05
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات HexStrike AI MCP Server السابقة لـ commit 2f3a5512
الوصف
يُعتبر HexStrike AI MCP Server عرضة لمشكلة حقن الأوامر. عند توفير وسيطة سطر أوامر تبدأ بفاصلة منقوطة (
;) إلى نقطة نهاية واجهة برمجة التطبيقات (API) تم إنشاؤها بواسطة الفئة EnhancedCommandExecutor، يتم تنفيذ أمر مركب مباشرةً بامتيازات الجذر. لا يقوم الخادم بتنقية هذه الوسيطات في إعداداته الافتراضية. الفئة EnhancedCommandExecutor هي المكون المسؤول عن معالجة الأوامر. لم يتم ذكر المعلمتين username وpassword صراحةً على أنهما متورطتان في هذه المشكلة.التوصيات
يجب تحديث الإصدارات السابقة لـ commit 2f3a5512 إلى إصدار يحتوي على التصحيح. كإجراء مؤقت، يُنصح بتعطيل الفئة
EnhancedCommandExecutor أو تقييد الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتوفر تصحيح.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾