PT-2025-5349
CVE-2025-24370
·
تاريخ النشر
2025-02-03
·
تاريخ التحديث
2026-06-29
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Django-Unicorn الأقدم من 0.62.0
الوصف
تنبع الثغرة الأمنية من الوظيفة الأساسية
set property value، والتي يمكن للمستخدمين تشغيلها عن بُعد من خلال إنشاء طلبات مكونات مناسبة وتوفير قيم للمعلمتين الثانية والثالثة من الوظيفة المعرضة للخطر، مما يؤدي إلى تغييرات تعسفية في حالة التشغيل (runtime) لـ Python. قد تؤدي هذه المشكلة إلى هجمات البرمجة النصية عبر المواقع (XSS) وحجب الخدمة (DoS) وتجاوز المصادقة في جميع التطبيقات القائمة على Django-Unicorn تقريبًا. وقد لوحظت خمس طرق على الأقل لاستغلال هذه الثغرة الأمنية.التوصيات
لحل المشكلة، قم بالتحديث إلى الإصدار 0.62.0 أو أعلى.
كحل مؤقت (workaround)، ضع في اعتبارك حظر المسارات التي تبدأ بـ
لمنع الوصول إلى ”double under“ (dunder) أو المتغيرات/الأساليب السحرية.بالإضافة إلى ذلك، قد يساعد تعريف قائمة سوداء (blacklist) للمسارات المقيدة، مثل
RESTRICTED KEYS = (” globals “, ” builtins “)، في التخفيف من حدة الثغرة الأمنية.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾