PT-2026-137204
CVE-2026-57565
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Readest الإصدارات السابقة لـ 0.11.10
الوصف
توجد مشكلة حيث يقوم التطبيق بإنشاء مفتاح كائن باستخدام معرف المستخدم المصادق عليه و
fileName يتحكم فيه العميل دون رفض فواصل المسار أو تجاوز الدليل الأب بشكل صحيح. في نظام R2 الخلفي، يتم وضع هذا المفتاح في URL طلب قبل توقيعه، ثم تقوم عملية تطبيع URL بدمج مكونات الدليل الأب، مما يسمح لطلب PUT الموقع مسبقاً بالهروب من نطاق اسم المستدعي. يمكن للمهاجم المصادق عليه الذي يعرف معرف المستخدم المستهدف وتجزئة الكتاب (book hash) أن يستبدل أو يسمم كائن الكتاب المخزن لمستخدم آخر ويفسد بيانات file key الوصفية المرتبطة به.التوصيات
التحديث إلى الإصدار 0.11.10.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾