CVE-2026-113651

اسم البرنامج المصاب والإصدارات المتأثرة uploadfs الإصدارات السابقة لـ 1.28.0

Description يفشل نظام التخزين المحلي لمكتبة uploadfs في التحقق من صحة المسارات التي يوفرها المستخدم أو تطهيرها بشكل صحيح. تقوم الدالة prefixPath() فقط بإزالة الشرطات المائلة المزدوجة ولا تقوم بتطبيع المسارات أو رفض مقاطع المجلدات الأصلية. وبناءً على ذلك، يمكن للمهاجم استخدام تسلسلات ../ للخروج من دليل التحميل المكون، مما يؤدي إلى قراءة وكتابة وحذف الملفات بشكل تعسفي على نظام ملفات المضيف. يحدث هذا لأن النظام الخلفي يقوم بدمج مباشر لسلسلة النصوص بين مسار التحميل الأساسي والمتغير path المقدم من المستخدم. تؤثر هذه المشكلة على الدوال التالية: copyIn() و streamOut() و remove().

Recommendations تحديث uploadfs إلى الإصدار 1.28.0.