PT-2026-136365
CVE-2026-63395
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
isomorphic-git الإصدارات السابقة لـ 1.38.6
الوصف
تقوم الدالة
git.checkout() بكتابة مسارات فرعية جديدة من خلال مكونات دليل رائدة مرتبطة رمزيًا (symlinks) دون التحقق منها بشكل صحيح. يمكن لمستودع خبيث إنشاء ارتباط رمزي لدليل ثم استبدال حالة الشجرة بملف فرعي تحت ذلك المسار. يمكن تحفيز ذلك أثناء عملية استنساخ (clone) متبوعة بعملية سحب (pull)، أو أثناء عملية استنساخ واحدة إذا كان الارتباط الرمزي موجودًا بالفعل. في أنظمة Linux أو macOS باستخدام Node fs، قد يقوم نظام التشغيل بمعالجة الكتابة خارج شجرة العمل، مما يسمح بكتابة ملفات عشوائية على المضيف واحتمالية تنفيذ تعليمات برمجية. في نظام Windows، يقوم Node fs عادةً بحظر إنشاء الارتباطات الرمزية بدون صلاحيات إضافية. أما مزودو المتصفح أو الذاكرة فيقتصر تأثيرهم على نظام الملفات الافتراضي الخاص بهم ويتأثرون فقط إذا قاموا بتنفيذ إنشاء واتباع الارتباطات الرمزية.التوصيات
التحديث إلى الإصدار 1.38.6.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾