PT-2026-146066
CVE-2026-126346
·
تاريخ النشر
2026-11-12
·
تاريخ التحديث
2026-11-12
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
basic-ftp الإصدارات السابقة لـ 6.2.3
Description
توجد مشكلة حيث تقوم الدالة
FTPContext.send() بإطلاق خطأ عندما يحتوي الأمر على أحرف إرجاع العربة (carriage return)، أو تغذية السطر (line feed)، أو أحرف NUL. في سيناريوهات معينة، يتم تنفيذ هذه الاستدعاءات بشكل متزامن داخل حدث بيانات مقبس التحكم دون وجود حدود للاستثناءات، مما يؤدي إلى خروج الخطأ عن معالجة أخطاء الوعود (promise error handling) القياسية وإنهاء عملية Node.js. يمكن أن يؤدي ذلك إلى حجب الخدمة إذا قام التطبيق بتمرير مدخلات غير موثوقة ككلمة مرور FTP في Client.login() أو كمسار بعيد أثناء استئناف التنزيل في downloadTo(). وتحديداً، تصل كلمة المرور التي يتحكم فيها المهاجم إلى أمر PASS بعد استجابة 331، ويصل المسار البعيد الذي يتحكم فيه المهاجم إلى أمر RETR بعد استجابة 350 لأمر REST. وبينما تمنع حماية التحقق من حقن الأوامر، فإن الاستثناء غير المعالج الناتج يؤدي إلى تعطل العملية بالكامل.Recommendations
تحديث basic-ftp إلى الإصدار 6.2.3.
كإجراء تخفيف مؤقت، تجنب تمرير قيم غير موثوقة أو يتحكم فيها المستخدم ككلمة مرور FTP أو كمسار بعيد لعمليات التنزيل.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾