PT-2026-28069
CVE-2026-25645
·
تاريخ النشر
2026-03-25
·
تاريخ التحديث
2026-09-28
الوصف من
CVSS 3.1
5.5
متوسطةالمقاييسAV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Requests الأقدم من 2.33.0
الوصف
تستخدم الدالة
requests.utils.extract zipped paths() اسم ملف يمكن التنبؤ به عند استخراج الملفات من أرشيفات zip إلى الدليل المؤقت للنظام. إذا كان هناك ملف يحمل نفس الاسم موجودًا بالفعل، يتم إعادة استخدامه دون التحقق من صحته. يمكن لمهاجم محلي يتمتع بحق الكتابة في الدليل المؤقت إنشاء ملف ضار مسبقًا ليتم تحميله بدلاً من الملف الشرعي. يؤثر هذا على التطبيقات التي تستدعي الدالة extract zipped paths() مباشرةً. تُستخدم الدالة requests.utils.extract zipped paths() بواسطة HTTPAdapter.cert verify() لتحميل حزمة شهادات المصدقين (CA).التوصيات
يجب ترقية الإصدارات الأقدم من 2.33.0 إلى الإصدار 2.33.0 أو أحدث.
إذا تعذر الترقية، فقم بتعيين متغير البيئة
TMPDIR إلى دليل يتمتع بحق كتابة مقيد.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾