PT-2026-27625
CVE-2026-33545
·
تاريخ النشر
2026-03-24
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات MobSF الأقدم من 4.4.6
الوصف
يحتوي MobSF، وهو أداة لاختبار أمان تطبيقات الأجهزة المحمولة، على ثغرة في دالة
read sqlite() الموجودة في ملف mobsf/MobSF/utils.py (الأسطر 542-566). تستخدم هذه الدالة تنسيق سلاسل Python (%) لإنشاء استعلامات SQL باستخدام أسماء الجداول التي يتم الحصول عليها من جدول sqlite master في قاعدة بيانات SQLite. عند تحليل تطبيق جوال ضار باستخدام قاعدة بيانات SQLite مُعدة خصيصًا، يتم إدراج أسماء الجداول التي يتحكم فيها المهاجم مباشرةً في استعلامات SQL دون تحديد المعلمات أو التهرب بشكل صحيح. وقد يؤدي ذلك إلى رفض الخدمة، حيث يمكن لاسم جدول ضار أن يتسبب في تعطل عارض قاعدة البيانات، مما يمنع تحليل محتوى قاعدة البيانات. كما أنه يسمح بحقن SQL عبر UNION SELECT، مما قد يمكّن المهاجم من استرداد البيانات التي يتحكم فيها. يتم تشغيل الكود المعرض للثغرة عندما يقوم المحلل بعرض ملف .db أثناء التحليل الديناميكي أو الثابت. تعتبر عبارة PRAGMA table info() في السطر 553 واستعلام SELECT * FROM في السطر 557 نقاط الحقن.التوصيات
الإصدارات الأقدم من 4.4.6: قم بالترقية إلى الإصدار 4.4.6 أو أحدث لمعالجة المشكلة. يتضمن الإصلاح المقترح استبدال تنسيق السلسلة بمعرفات محاطة بعلامات اقتباس صحيحة، مع تجنب أي علامات اقتباس مزدوجة داخل أسماء الجداول عن طريق مضاعفتها (
” → “") لمنع الخروج من سياق المعرف المحاط بعلامات اقتباس مزدوجة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾