PT-2026-132845
CVE-2026-61645
·
تاريخ النشر
2026-10-29
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
Docat الإصدارات السابقة لـ 1.6.0
Description
توجد ثغرة تحميل ملفات عشوائية في
Upload API بسبب فشل النظام في التحقق من uploaded file path or type. يسمح هذا للمستخدمين المصرح لهم بتجاوز ملفات التكوين الحساسة أو رفع ملفات ضارة إلى خادم الويب. اعتمادًا على بيئة التشغيل، قد يؤدي ذلك إلى تنفيذ رموز عن بُعد أو حدوث نص برمجي عابر للمواقع (cross-site scripting)، والذي قد يُستخدم لسرقة ملفات تعريف الارتباط أو توجيه المستخدمين إلى مواقع ضارة. وبينما يعالج الإصدار 1.6.0 مشكلة تخطي المسار بناءً على اسم الملف، إلا أنه لا يعالج بشكل كامل أنواع الملفات غير المقيدة أو التأثيرات المعتمدة على بيئة التشغيل للمحتويات الضارة.Recommendations
التحديث إلى الإصدار 1.6.0.
تقييد الوصول إلى
Upload API لتقليل مخاطر الاستغلال. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾