PT-2026-36917
CVE-2026-40281
·
تاريخ النشر
2026-04-30
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Gotenberg من 8.x حتى 8.30.1
الوصف
توجد مشكلة في التحقق من صحة المدخلات في نقطة نهاية كتابة البيانات الوصفية ’/forms/pdfengines/metadata/write‘. في حين يتم التحقق من صحة مفاتيح البيانات الوصفية، يتم تمرير قيم البيانات الوصفية دون تنقية إلى الدالة
WriteMetadata(). يمكن للمهاجم إدخال حرف سطر جديد ( ) في قيمة البيانات الوصفية لتقسيم سطر الإدخال القياسي (stdin) لـ ExifTool، مما يسمح بإدخال علامات زائفة تعسفية لـ ExifTool مثل -FileName و-Directory و-SymLink و-HardLink.ويمكن أن يمكّن ذلك مهاجمًا غير مصدق من إعادة تسمية ملفات PDF المعالجة أو نقلها إلى مسارات عشوائية في نظام ملفات الحاوية، أو الكتابة فوق ملفات النظام، أو إنشاء روابط رمزية وروابط ثابتة في مسارات عشوائية.
التوصيات
قم بالترقية إلى الإصدار 8.31.0.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’/forms/pdfengines/metadata/write‘ لتقليل مخاطر الاستغلال إلى أدنى حد.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾