PT-2026-137645
CVE-2026-123198
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
LMFDB الإصدارات السابقة للـ commit 01829bd
Description
توجد مشكلة في الدالة
render knowl() تسمح للمهاجمين غير المصرح لهم بإجراء حقن للقوالب من جهة الخادم. من خلال تقديم قيم query-string مصممة خصيصاً أو بيانات content إلى نقطة النهاية '/knowledge/render/'، يمكن للمهاجمين حقن تعبيرات Jinja للوصول إلى builtins الخاصة بلغة Python وتنفيذ أوامر نظام التشغيل بصلاحيات حساب تطبيق الويب.Recommendations
التحديث إلى commit 01829bd أو إصدار أحدث.
كإجراء مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/knowledge/render/'.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾