PT-2026-29671
CVE-2026-34730
·
تاريخ النشر
2026-04-01
·
تاريخ التحديث
2026-04-03
الوصف من
CVSS 3.1
5.5
متوسطةالمقاييسAV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Copier الأقدم من 9.14.1
الوصف
تسمح ميزة external data في Copier للقوالب بتحميل ملفات YAML باستخدام مسارات يتحكم فيها القالب. وقد يتيح ذلك لقالب ضار قراءة الملفات المحلية القابلة للتحليل بلغة YAML والتي يمكن للمستخدم الذي يشغل Copier الوصول إليها، مما قد يؤدي إلى كشف محتوياتها في الناتج المعروض. تحدث هذه المشكلة بسبب عدم وجود فحص احتواء لضمان بقاء المسار الناتج ضمن وجهة المشروع الفرعي. وهذا يسمح بالانتقال عبر الدليل الأصلي (على سبيل المثال، ’../secret.yml‘) وقراءة المسارات المطلقة (على سبيل المثال، ’/tmp/secret.yml‘). وتبقى هذه الثغرة الأمنية موجودة حتى دون استخدام العلامة
--UNSAFE.التوصيات
تحديث Copier إلى الإصدار 9.14.1 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾