PT-2026-138438
CVE-2026-102657
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
esm.sh الإصدارات السابقة لـ 137 7
Description
يفشل خادم الملفات الثابتة
web.NewHandler في web/handler.go في التحقق من أن نتيجة دمج r.URL.Path الذي تم فك ترميزه مع Config.AppDir تظل داخل دليل التطبيق المكون. يمكن لمهاجم عن بُعد غير مصرح له استخدام مقاطع نقطية مرمزة بنظام URL، مثل %2e%2e لتجاوز إعادة توجيه التخطي التي يقوم بها ServeMux الخاص بلغة Go. يسمح هذا للمهاجم بالوصول إلى ملفات خارج Config.AppDir وقراءتها بواسطة عملية الخادم، حتى عند تعطيل وضع Dev.Recommendations
تحديث esm.sh إلى الإصدار 137 7.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾