PT-2026-25164
CVE-2026-23942
·
تاريخ النشر
2026-03-13
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 4.0
7.0
عاليةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Erlang OTP من 17.0 إلى 28.4.1
إصدارات Erlang OTP من 26.2.5.18 إلى 27.3.4.9
الوصف
يوجد قيد غير صحيح لمسار الملف في دليل مقيد، وتحديدًا مشكلة ”عبور المسار“ (Path Traversal)، في وحدة Erlang OTP
ssh sftpd. يستخدم خادم SFTP مطابقة بادئة السلسلة باستخدام الدالة lists:prefix/2 بدلاً من التحقق الصحيح من مكونات المسار عند التأكد مما إذا كان المسار يقع ضمن الدليل الجذر المُهيأ. وهذا يسمح للمستخدمين المصادق عليهم بالوصول إلى الدلائل الشقيقة التي تشترك في بادئة اسم مشتركة مع الدليل الجذر المُهيأ. على سبيل المثال، إذا تم تعيين الدليل الجذر على /home/user1، فقد يتم اعتبار مسارات مثل /home/user10 أو /home/user1 backup بشكل خاطئ على أنها تقع ضمن الدليل الجذر. ترتبط هذه المشكلة بملف البرنامج lib/ssh/src/ssh sftpd.erl والدالة ssh sftpd:is within root/2.التوصيات
تحديث Erlang OTP إلى إصدار أحدث من 28.4.1.
تحديث Erlang OTP إلى إصدار أحدث من 27.3.4.9.
تحديث Erlang OTP إلى إصدار أحدث من 26.2.5.18.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾