PT-2025-7790
CVE-2025-27137
·
تاريخ النشر
2025-02-24
·
تاريخ التحديث
2025-02-28
الوصف من
CVSS 3.1
4.4
متوسطةالمقاييسAV:L/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Dependency-Track الأقدم من 4.12.6
الوصف
تسمح هذه الثغرة الأمنية للمستخدمين الذين يمتلكون إذن
SYSTEM CONFIGURATION بإساءة استخدام العلامة include في قوالب الإشعارات، مما قد يؤدي إلى تسريب ملفات محلية حساسة، مثل /etc/passwd أو /proc/1/environ، من خلال تضمينها في قوالب الإشعارات وإرسال الإشعارات إلى وجهة خاضعة للسيطرة.التوصيات
بالنسبة للإصدارات الأقدم من 4.12.6، تجنب منح صلاحية
SYSTEM CONFIGURATION للمستخدمين غير الموثوق بهم، حيث تشكل هذه الصلاحية خطرًا أمنيًا إذا مُنحت لمستخدمين أو فرق غير إدارية.قم بالتحديث إلى الإصدار 4.12.6 أو أحدث، حيث لم يعد من الممكن استخدام العلامة
include، وسيؤدي استخدامها إلى فشل تقييم القالب. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾