PT-2026-24824
CVE-2026-32109
·
تاريخ النشر
2026-03-11
·
تاريخ التحديث
2026-03-12
الوصف من
CVSS 3.1
4.4
متوسطةالمقاييسAV:N/AC:H/PR:L/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Copyparty الأقدم من 1.20.12
الوصف
Copyparty هو خادم ملفات محمول. إذا كان المهاجم يتمتع بأذونات القراءة والكتابة، فيمكنه تحميل ملف ضار باسم
.prologue.html. ويمكنه بعد ذلك إنشاء رابط قد يؤدي إلى تنفيذ تعليمات جافا سكريبت تعسفية في سياق الضحية. في حين يُتوقع تنفيذ جافا سكريبت عند النقر على رابط مباشر لملف HTML (على سبيل المثال، ’https://example.com/foo/.prologue.html‘)، تنشأ المشكلة لأن رابطًا مثل ’https://example.com/foo/?b‘ يقوم أيضًا بتقييم الملف، مما يؤدي إلى سلوك غير متوقع. تجعل الإجراءات الوقائية الحالية، مثل ملفات تعريف الارتباط SameSite الصارمة، الاستغلال أكثر صعوبة، حيث تتطلب من الهدف النقر على الرابط من صفحة يقدمها الخادم نفسه، ربما من خلال تعديل مورد موجود. يتطلب الاستغلال الناجح أن ينقر الهدف على رابط مصمم خصيصًا يقدمه المهاجم. لا يتم تشغيل المشكلة من خلال التصفح العادي لواجهة المستخدم على الويب. في حالة النجاح، يمكن لـ JavaScript الخبيث نقل أو حذف الملفات الموجودة على الخادم، أو تحميل ملفات جديدة، باستخدام حساب الشخص الذي يفتح الرابط.التوصيات
يجب تحديث الإصدارات الأقدم من 1.20.12 إلى الإصدار 1.20.12 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾