PT-2026-134132
CVE-2026-62331
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 3.1
8.2
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
praktor الإصدارات السابقة لـ 0.9.1
الوصف
في
internal/telegram/bot.go تقوم مواقع تحميل تلجرام بدمج أسماء ملفات المستندات التي يوفرها المستخدم في مسار الوجهة دون تعقيم مناسب. ونظرًا لأن path.Join يقوم بدمج تجاوز المجلدات الأصلية، يمكن لمستخدم تلجرام عن بُعد كتابة ملفات خارج دليل uploads/ ضمن مساحة عمل الوكيل المستمرة المثبتة في /workspace/agent. عندما يتم استخدام تكوين allow from: [] يتم السماح لجميع المرسلين افتراضيًا، مما لا يتطلب أي مصادقة. يتيح ذلك للمهاجم استبدال أو إنشاء ملفات مثل CLAUDE.md أو التعليمات أو المهارات أو الخطافات أو ملفات التكوين، مما يؤدي إلى حقن تعليمات مخزنة. يقتصر نطاق الكتابة التعسفية هذه على وحدة تخزين مساحة عمل الوكيل المستمرة.التوصيات
التحديث إلى الإصدار 0.9.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾