PT-2026-25383
CVE-2026-32630
·
تاريخ النشر
2026-03-13
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
file-type من الإصدار 20.0.0 حتى 21.3.1
الوصف
تقوم وظيفة file-type باكتشاف نوع ملف أو دفق أو بيانات. يمكن لملف ZIP مصمم خصيصًا أن يتسبب في زيادة مفرطة في استهلاك الذاكرة أثناء عملية اكتشاف النوع عند استخدام واجهات برمجة التطبيقات (API)
fileTypeFromBuffer() أو fileTypeFromBlob() أو fileTypeFromFile(). يتم فرض حد إخراج ZIP inflate على عملية الاكتشاف القائمة على الدفق، ولكن لا يتم فرضه على المدخلات ذات الحجم المعروف. وهذا يسمح لملف ZIP مضغوط صغير الحجم بأن يتسبب في تضخم وظيفة file-type ومعالجتها لحمولة أكبر بكثير أثناء فحص التنسيقات المستندة إلى ZIP مثل OOXML. هذه مشكلة تتعلق بتوافر الخدمة، وقد تؤدي إلى استهلاك التطبيقات لكميات كبيرة من الذاكرة، أو إبطاء أدائها، أو تعطلها. تنشأ المشكلة من تطبيق حدود مختلفة على عملية الكشف عن ملفات ZIP بناءً على ما إذا كان حجم الملف معروفًا لبرنامج تحليل الرموز أم لا. بالنسبة للمدخلات ذات الحجم المعروف، تم استخدام Number.MAX SAFE INTEGER بدلاً من حد أكثر ملاءمة، مما سمح لملف ZIP مصمم خصيصًا بتجاوز حد التوسيع المقصود. يمكن لملف ZIP بحجم 255 كيلوبايت تقريبًا أن يتسبب في نمو حجم RSS بنحو 257 ميغابايت أثناء تنفيذ fileTypeFromBuffer() في الإصدار 21.3.1. واجهات برمجة التطبيقات (APIs) المتأثرة هي fileTypeFromBuffer() وfileTypeFromBlob() وfileTypeFromFile().التوصيات
يجب تحديث إصدارات file-type من 20.0.0 إلى 21.3.1 إلى الإصدار 21.3.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾