PT-2025-54216
CVE-2025-69256
·
تاريخ النشر
2025-12-30
·
تاريخ التحديث
2026-01-28
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Serverless Framework من 4.29.0 إلى 4.29.2
الوصف
Serverless Framework هو إطار عمل يُستخدم لإنشاء تطبيقات باستخدام AWS Lambda وخدمات سحابية مُدارة أخرى. توجد مشكلة تتعلق بحقن الأوامر في حزمة خادم MCP المدمجة في Serverless Framework (@serverless/mcp). ويؤثر ذلك على مستخدمي ميزة خادم MCP التجريبية، الذين يمثلون أقل من 0,1% من مستخدمي Serverless Framework. لا تتأثر واجهة سطر الأوامر (CLI) الرئيسية لـ Serverless Framework ووظيفة النشر. تنشأ المشكلة عن الاستخدام غير المُعقم لمعلمات الإدخال داخل استدعاء لـ
child process.exec، مما يسمح للمهاجم بحقن أوامر نظام عشوائية. قد يؤدي الاستغلال الناجح إلى تنفيذ التعليمات البرمجية عن بُعد بامتيازات عملية الخادم. يقوم الخادم بإنشاء أوامر شل وتنفيذها باستخدام مدخلات المستخدم غير المُثبتة صحتها، مما يخلق إمكانية لحقن أحرف شل خاصة، مثل | و> و&&.التوصيات
قم بالتحديث إلى الإصدار 4.29.3 أو أعلى من Serverless Framework.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾