CVE-2026-32731

إصدارات ApostropheCMS الأقدم من 3.5.3

إصدارات @apostrophecms/import-export الأقدم من 3.5.3

يحتوي ApostropheCMS على ثغرة أمنية من نوع Zip Slip في الدالة extract() الموجودة داخل ملف gzip.js. لا تقوم الدالة path.join() بتنقية أو معالجة المقاطع المتقاطعة مثل ../، مما يسمح لملف .tar.gz مصمم خصيصًا تم تحميله عبر واجهة المستخدم الخاصة بالاستيراد في نظام إدارة المحتوى (CMS) بكتابة محتوى يتحكم فيه المهاجم إلى أي مسار يمكن لعملية Node.js الوصول إليه على نظام ملفات المضيف. ويحدث ذلك لأن الدالة تُنشئ مسارات كتابة الملفات دون إجراء فحص للمسار القياسي قبل فتح دفق الكتابة. يمكن لأي مستخدم يتمتع بإذن «تعديل المحتوى العام» (Global Content Modify)، وهو دور يُمنح عادةً لمحرري المحتوى ومديري المواقع، استغلال هذه الثغرة. تسمح هذه الثغرة بكتابة ملفات عشوائية، مما قد يؤدي إلى تشويه الموقع، وحقن أصول ضارة، وإنشاء أبواب خلفية دائمة، وسرقة بيانات الاعتماد، وحجب الخدمة. توجد الدالة extract() في الملف packages/import-export/lib/formats/gzip.js في الأسطر 132–157. تتطلب هذه الثغرة الأمنية إذن «تعديل المحتوى العام».

قم بالتحديث إلى الإصدار 3.5.3 من @apostrophecms/import-export أو أحدث.