CVE-2026-21440

إصدارات AdonisJS حتى 10.1.1 والإصدارات التجريبية من 11.x التي تسبق الإصدار 11.0.0-next.6

توجد ثغرة أمنية تتعلق بـ«تجاوز المسار» في عملية معالجة الملفات متعددة الأجزاء في AdonisJS. تسمح هذه الثغرة الأمنية لمهاجم عن بُعد بتسجيل ملفات عشوائية في مواقع عشوائية ضمن نظام ملفات الخادم. توجد هذه الثغرة في الحزمة @adonisjs/bodyparser. يتضمن استغلال هذه الثغرة استخدام أسماء ملفات تحميل مُعدة بعناية، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) في حالة استخدام الدالة MultipartFile.move() دون تنقية مناسبة. تم تحديد ما يقارب 44,500 نظام قد تكون متأثرة. تسمح هذه الثغرة للمهاجمين بالتحايل على قيود تحميل الملفات والكتابة فوق ملفات النظام، مما قد يؤدي إلى السيطرة الكاملة على النظام المخترق.

قم بالتحديث إلى الإصدار 10.1.2 أو أحدث من @adonisjs/bodyparser.

قم بالتحديث إلى الإصدار 11.0.0-next.6 أو أحدث من @adonisjs/bodyparser.

تأكد من تطبيق التحقق الصارم من أسماء الملفات على جانب الخادم لمنع هجمات تجاوز المسار.

تجنب تمكين ميزة الكتابة فوق الملفات، ما لم يكن ذلك ضروريًا للغاية.