CVE-2026-33981

إصدارات changedetection.io الأقدم من 0.54.7

تسمح تعبيرات التصفية jq: وjqraw: في changedetection.io باستخدام الدالة المدمجة env في jq، والتي تقرأ جميع متغيرات بيئة العملية وتخزنها كلقطة مراقبة. يمكن للمستخدم المصادق عليه، أو المستخدم غير المصادق عليه في حالة عدم تعيين كلمة مرور، تسريب متغيرات بيئة حساسة بما في ذلك SALTED PASS وPLAYWRIGHT DRIVER URL وHTTP PROXY وأي أسرار يتم تمريرها كمتغيرات بيئة إلى الحاوية. تكمن الثغرة الأمنية في ملف html tools.py، وتحديدًا في الأسطر 380-388، حيث يتم ترجمة تعبيرات مرشح jq التي يقدمها المستخدم وتنفيذها دون تقييد الدوال المدمجة الخطيرة في jq. لا يتحقق مدقق صحة النموذج إلا من إمكانية ترجمة التعبير، ويفشل في حظر الدوال الخطيرة مثل env. وهذا يسمح للمهاجم بإنشاء مراقبة لأي نقطة نهاية JSON باستخدام jqraw:env كمرشح تضمين، مما يؤدي بعد ذلك إلى كشف جميع متغيرات البيئة في الملف النصي المعالج. وقد يؤدي ذلك إلى كشف الأسرار، وسرقة بيانات اعتماد البنية التحتية، وإمكانية الوصول المتتالي إلى أنظمة داخلية أخرى.

قم بالتحديث إلى إصدار changedetection.io 0.54.7 أو أحدث.