PT-2025-9537
CVE-2025-27500
·
تاريخ النشر
2025-03-03
·
تاريخ التحديث
2025-03-04
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenZiti الأقدم من 3.7.1
الوصف
تتعلق المشكلة بنقطة نهاية، ”/api/upload“، في لوحة الإدارة يمكن الوصول إليها دون مصادقة. تسمح نقطة النهاية هذه بتحميل الملفات عبر HTTP POST، والتي يتم تخزينها بعد ذلك في العقدة ويمكن الوصول إليها عبر عنوان URL. إذا تم إرسال ملف ضار يحتوي على كود والوصول إليه، فقد يؤدي ذلك إلى هجوم «البرمجة النصية عبر المواقع» المخزنة عند تنفيذه في سياق متصفح المستخدم. لم تعد هذه الوظيفة ضرورية وتم تعطيلها، حيث إن ziti-console يمر بمرحلة انتقالية من تطبيق خادم node إلى تطبيق صفحة واحدة.
التوصيات
بالنسبة للإصدارات الأقدم من 3.7.1، قم بالتحديث إلى الإصدار 3.7.1 لحل المشكلة. كحل مؤقت، يُنصح بتعطيل الوصول إلى نقطة النهاية ”/api/upload“ حتى يتم تطبيق التحديث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾