PT-2026-129174
CVE-2026-118654
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Echo الإصدارات السابقة لـ 4.16.0
Echo الإصدارات السابقة لـ 5.4.0
Description
يمكن لمعالجات الملفات الثابتة تطبيع مقاطع النقطة بعد مطابقة المسار، مما يسمح لمهاجم غير مصرح له بقراءة ملفات كان من المفترض حمايتها بواسطة برمجيات وسيطة (middleware) على مستوى المسار. يحدث هذا عندما تكون الملفات المحمية قابلة للوصول أيضًا من خلال تثبيت نظام ملفات ثابت بعد تطبيع المسار. تنبع هذه المشكلة من إصلاح غير مكتمل حيث تتجاوز مقاطع الانتقال المشفرة، مثل
%2E%2E، الضمانات التي تتحقق فقط من فواصل المسار المشفرة مثل %2F و %5C. في هذه الحالات، يتم فك تشفير الطلب وحله عبر path.Clean مما يؤدي إلى تقديم الملف المحمي من خلال مسار ثابت عام. بالإضافة إلى ذلك، عندما يتم تعيين المتغير UseEscapedPathForMatching على القيمة true يقوم الموجه بتطبيع الفواصل المشفرة قبل أن يتحقق المعالج الثابت من الرمز العام، مما يتجاوز ضمان فواصل المسار المشفرة.Recommendations
تحديث Echo إلى الإصدار 4.16.0 أو أحدث.
تحديث Echo إلى الإصدار 5.4.0 أو أحدث.
كإجراء مؤقت، قم بوضع وكيل عكسي (reverse proxy) أمام التطبيق لتطبيع مسارات الطلبات عن طريق إزالة مقاطع النقطة ودمج الشرطات المائلة.
كإجراء مؤقت، تأكد من تخزين الملفات المحمية خارج الدليل الذي يتم تقديمه من خلال تثبيت نظام الملفات الثابت.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾