PT-2025-9135
CVE-2025-27413
·
تاريخ النشر
2025-02-28
·
تاريخ التحديث
2025-04-15
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PwnDoc الأقدم من 1.2.0
الوصف
تتعلق المشكلة بوظيفة استعادة النسخ الاحتياطي، التي تسمح للمسؤول باستيراد البيانات الخام إلى قاعدة البيانات، بما في ذلك تسلسلات ”Path Traversal“ (
../). وهذا يمثل مشكلة بالنسبة لوظيفة تحديث القوالب، لأنها تستخدم مسار قاعدة البيانات لتسجيل محتوى تعسفي، مما قد يؤدي إلى الكتابة فوق شفرة المصدر لتحقيق ”تنفيذ التعليمات البرمجية عن بُعد“. يمكن لأي مستخدم يتمتع بأذونات backups:create وbackups:update وtemplates:update — وهي أذونات مقتصرة على المسؤولين افتراضيًا — كتابة محتوى تعسفي في أي مكان في نظام الملفات. ومن خلال الكتابة فوق شفرة المصدر، يمكن تحقيق «تنفيذ التعليمات البرمجية عن بُعد».التوصيات
بالنسبة للإصدارات الأقدم من 1.2.0، قم بالتحديث إلى الإصدار 1.2.0 لحل المشكلة. كحل مؤقت، ضع في اعتبارك تقييد أذونات
backups:create وbackups:update وtemplates:update للحد من احتمالية الاستغلال. بالإضافة إلى ذلك، قم بتقييد الوصول إلى وظيفة تحديث القوالب لتقليل مخاطر كتابة محتوى تعسفي في نظام الملفات.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾