CVE-2026-109166

اسم البرنامج المصاب والإصدارات المتأثرة lamp-cloud الإصدارات السابقة لـ 5.10.2

Description تحدث ثغرة المرجع المباشر غير الآمن للكائنات عندما يوفر التطبيق وصولاً مباشرًا إلى الكائنات بناءً على مدخلات المستخدم. يمكن للمستخدمين المصرح لهم الحصول على روابط تخزين لملفات مستخدمين آخرين عن طريق تقديم معرفات ملفات عشوائية. يحدث هذا لأن المعالج findUrlById() في FileAnyoneController لا يتحقق من ملكية الملف، مما يسمح للمهاجمين باسترداد روابط الوصول وقراءة المرفقات المرفوعة.

Recommendations تحديث lamp-cloud إلى الإصدار 5.10.2 أو أحدث. كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى دالة findUrlById() داخل FileAnyoneController.