PT-2026-30814
CVE-2026-28808
·
تاريخ النشر
2026-04-07
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 4.0
8.3
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Erlang OTP من 17.0 إلى 28.4.2، و26.2.5.19، و27.3.4.10
الوصف
توجد مشكلة في عملية المصادقة في Erlang OTP (وحدات inets) تسمح بالوصول غير المصادق عليه إلى نصوص CGI المحمية بقواعد الدليل عند تقديمها عبر
script alias. يحدث هذا لأن mod auth يقوم بتقييم ضوابط الوصول المستندة إلى الدليل مقابل المسار النسبي لـ DocumentRoot، بينما يقوم mod cgi بتنفيذ النصوص في المسار الذي تم تحليله بواسطة ScriptAlias، مما يؤدي إلى عدم تطابق المسار. ملفات البرامج المتأثرة هي lib/inets/src/http server/mod alias.erl، وlib/inets/src/http server/mod auth.erl، وlib/inets/src/http server/mod cgi.erl.التوصيات
انقل البرامج النصية CGI إلى داخل
DocumentRoot واستخدم alias بدلاً من script alias لضمان قيام mod auth بحل المسار الصحيح.قم بتطبيق ضوابط الوصول المستندة إلى عناوين URL في طبقة الوكيل العكسي لحظر الوصول غير المصادق عليه إلى بادئة عنوان URL
script alias.قم بإزالة
mod cgi من سلسلة وحدات httpd إذا لم تكن وظيفة CGI مطلوبة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾