PT-2026-136370
CVE-2026-63478
·
تاريخ النشر
2026-11-03
·
تاريخ التحديث
2026-11-03
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
isomorphic-git الإصدارات السابقة لـ 1.38.6
Description
يقبل محلل الشجرة في
src/models/GitTree.js أسماء إدخالات الشجرة .. المستقلة لأنه يرفض فقط فاصلات المسار. عند إجراء عملية استنساخ (clone) أو استخراج (checkout) من مصدر بعيد غير تابع لـ GitHub يكون خبيثاً أو خاضعاً لسيطرة وسيط (man-in-the-middle)، يمكن لإدخالات .. المتداخلة أن تخرج عن نطاق جذر شجرة العمل. يسمح هذا للمهاجم بكتابة ملفات في مسارات أباء مختارة على أي مزود نظام ملفات (fs provider) مستضاف، مما قد يؤدي إلى الكتابة فوق ملفات بدء التشغيل أو ملفات التكوين وتحقيق تنفيذ التعليمات البرمجية.Recommendations
التحديث إلى الإصدار 1.38.6.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾