PT-2026-31666
CVE-2026-39983
·
تاريخ النشر
2026-04-08
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 2.0
9.0
عاليةالمقاييسAV:N/AC:L/Au:N/C:P/I:C/A:P
اسم البرنامج المعرض للخطر والإصدارات المتأثرة: basic-ftp الإصدار 5.2.0
الوصف: basic-ftp هو عميل FTP لـ Node.js. الإصدارات السابقة لـ 5.2.1 معرضة لحقن أوامر FTP بسبب المعالجة غير الصحيحة لتسلسلات CRLF (r
) ضمن معلمات مسار الملف المستخدمة في واجهات برمجة التطبيقات (API) عالية المستوى للمسار مثل
cd() وremove() وrename() وuploadFrom() وdownloadTo() وlist() وremoveDir(). لا تقوم الدالة protectWhitespace() بتنقية المسارات بشكل كافٍ، كما أن الدالة FtpContext.send() تضيف r
مباشرةً إلى الأوامر، مما يسمح للمسارات التي يتحكم فيها المهاجم بتقسيم أوامر FTP المقصودة. وقد يؤدي ذلك إلى حذف ملفات عشوائي، والتلاعب بالدلائل، وتسريب الملفات، واحتمال تنفيذ أوامر على الخادم، واختطاف الجلسة، وتعطيل الخدمة. تنبع هذه الثغرة الأمنية من التفاعل بين عدم كفاية تنقية المسارات في protectWhitespace() والكتابة المباشرة عبر المأخذ في send(). وتشمل الطرق المتأثرة cd() وremove() وlist() وdownloadTo() وuploadFrom() وrename() وremoveDir(). يمكن للمهاجم الذي يتحكم في معلمات مسار الملف حقن أوامر تعسفية لبروتوكول FTP.التوصيات: قم بتنقية جميع مدخلات المسار قبل تمريرها إلى basic-ftp. قم برفض أو إزالة الأحرف r و
من جميع مدخلات المسار في دالة
protectWhitespace(). وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾