PT-2026-126629
CVE-2026-109823
·
تاريخ النشر
2026-10-27
·
تاريخ التحديث
2026-10-27
الوصف من
CVSS 4.0
2.3
منخفضةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
tidewave الإصدارات من 0.8.0 إلى 0.9.1
Description
يمكن للمهاجم قراءة مسارات نظام الملفات الخاصة بالتطبيق من خلال تكوين Tidewave. يحدث هذا لأن الخادم لا يتحقق من رأس
Host وتقبل الدالة check origin() الطلبات التي تفتقر إلى رأس Origin. يمكن لصفحة ويب خبيثة استخدام تقنية DNS rebinding لإعادة توجيه نطاقها إلى عنوان loopback وإجراء طلب من نفس الأصل لاسترداد معلومات حساسة. يتم تسريب البيانات المكشوفة، والتي تشمل اسم المستخدم المحلي وتخطيط المشروع، عبر نقطة النهاية /tidewave/connect أو من خلال شريط الأدوات الذي يتم حقنه في استجابات HTML بواسطة الدالة Tidewave.call(). وبشكل محدد، تقوم الدالة Tidewave.tidewave config meta/1 بجمع بيانات مثل root و framework.app paths و wsl distro و host path وتضمينها في علامة meta.Recommendations
تحديث tidewave إلى الإصدار 0.9.2 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾