PT-2026-125384
CVE-2026-116578
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 4.0
2.1
منخفضةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:A/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
Tornado الإصدارات السابقة لـ 6.6
الوصف
في قوالب URL الخاصة بـ
tornado.web.RedirectHandler يمكن التلاعب باستبدالات التقاط التعبيرات النمطية (regex-capture substitutions) عبر مسارات طلبات مصممة خصيصاً لتغيير مخطط إعادة التوجيه أو موقع الشبكة. يحدث هذا عندما يتم وضع الاستبدالات في بداية المسار، أو مباشرة بعد مضيف ثابت، أو في بداية القالب. يشمل ذلك المتغيرات النسبية للبروتوكول، والمطلقة، والشرطة المائلة العكسية، والمشفرة، وامتدادات المضيف، ومعلومات المستخدم التي تفسرها المتصفحات كوجهات يتحكم فيها المهاجم. تسمح هذه الثغرة بإعادة توجيه مفتوحة على نطاق التطبيق، مما قد يُستخدم في عمليات التصيد الاحتيالي.التوصيات
التحديث إلى الإصدار 6.6.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾