PT-2025-8914
CVE-2025-1686
·
تاريخ النشر
2025-02-27
·
تاريخ التحديث
2026-10-01
الوصف من
CVSS 3.1
6.8
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
io.pebbletemplates:pebble (الإصدارات المتأثرة غير محددة)
الوصف
تسمح هذه الثغرة الأمنية للمهاجم بالتحكم في أسماء الملفات أو المسارات من خلال العلامة
include، مما قد يتيح له الوصول إلى ملفات محلية حساسة، مثل /etc/passwd أو /proc/1/environ، عند إنشاء قوالب إخطارات ضارة.التوصيات
للتخفيف من حدة هذه المشكلة، قم بتعطيل الماكرو
include في Pebble Templates باستخدام كود Java التالي:java
new PebbleEngine.Builder()
.registerExtensionCustomizer(new DisallowExtensionCustomizerBuilder()
.disallowedTokenParserTags(List.of(”include“))
.build())
.build();
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾