PT-2026-141104
CVE-2026-123806
·
تاريخ النشر
2026-05-28
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 3.1
4.0
متوسطةالمقاييسAV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
python-tuf الإصدارات السابقة لـ 7.0.0
Description
في تنفيذ
ngclient ، تستخدم الدالة DelegatedRole. is target in pathpattern() في tuf/api/ payload.py الدالة fnmatch.fnmatch للتحقق مما إذا كان مسار الهدف مصرحًا به بواسطة نمط glob الخاص بالتفويض. في نظام التشغيل Windows ، تقوم fnmatch.fnmatch بتطبيق os.path.normcase ، مما يحول السلاسل النصية إلى أحرف صغيرة، مما يجعل تفويض المسار غير حساس لحالة الأحرف. هذا السلوك ينحرف عن مواصفات TUF ويختلف عن نظامي Linux و macOS. إذا كان المستودع يحتوي على تفويضات قائمة على المسار تختلف فقط في حالة الأحرف وتمت معالجة دور يتحكم فيه المهاجم قبل الدور الشرعي ، فقد يقبل عميل Windows هدفًا غير مصرح به قدمه المهاجم لمسار مطلوب.Recommendations
تحديث python-tuf إلى الإصدار 7.0.0 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾