CVE-2026-32146

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

إصدارات Gleam من 1.9.0-rc1 حتى 1.15.3 و1.16.0-rc1

الوصف

توجد مشكلة في التحقق من صحة المسارات في مُجمِّع Gleam عند معالجة تبعيات git أثناء عملية تنزيل التبعيات. تُستخدم أسماء التبعيات من ملفَي gleam.toml وmanifest.toml لإنشاء مسارات نظام الملفات دون التحقق الكافي من صحتها، مما يسمح للمسارات التي يتحكم فيها المهاجم (باستخدام التجاوز النسبي مثل ’../‘ أو المسارات المطلقة) باستهداف مواقع خارج دليل التبعيات المقصود. وقد يؤدي ذلك إلى تعديل نظام الملفات بشكل تعسفي، بما في ذلك حذف الدلائل وإنشاؤها، عند حل تبعيات git باستخدام الأمر gleam deps download. يمكن لتبعية git ضارة أن تقوم بالكتابة فوق دلائل عشوائية، مما قد يتسبب في فقدان البيانات أو، في بعض البيئات، في تنفيذ التعليمات البرمجية عن طريق الكتابة فوق ملفات مثل git hooks أو ملفات تكوين shell.

التوصيات

تجنب استخدام تبعيات git غير موثوق بها، خاصةً دون تثبيت SHA لالتزام محدد.

راجع أشجار التبعيات بعناية، بما في ذلك تبعيات git الانتقالية.

قم بتشغيل أوامر حل التبعيات في بيئة مقيدة أو معزولة (على سبيل المثال، الحاويات).