PT-2026-31648
CVE-2026-39942
·
تاريخ النشر
2026-04-04
·
تاريخ التحديث
2026-04-09
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Directus الأقدم من 11.17.0
الوصف
تحتوي واجهة برمجة تطبيقات (API) إدارة الملفات في Directus على ثغرة في التحكم في الوصول تسمح للمستخدمين المصادق عليهم بالكتابة فوق ملفات تخص مستخدمين آخرين من خلال التلاعب بالمعلمة
filename disk في نقطة النهاية PATCH /files/{id}. من خلال تعيين هذه القيمة لتتطابق مع مسار تخزين ملف مستخدم آخر، يمكن للمهاجم الكتابة فوق محتوى الملف والتلاعب بحقول البيانات الوصفية مثل uploaded by لإخفاء عملية التلاعب. وقد يؤدي ذلك إلى الكتابة غير المصرح بها فوق الملفات، واحتمال تنفيذ التعليمات البرمجية عن بُعد إذا كانت البنية الخلفية للتخزين مشتركة مع موقع الملحقات، وانتهاك سلامة البيانات.التوصيات
التحديث إلى الإصدار 11.17.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾