CVE-2026-42601

ArchiveBox (لم يتم تحديد الإصدارات المتأثرة)

تسمح نقطة النهاية ’/add/‘ (AddView في core/views.py) بحقن إعدادات تعسفية في مهام الزحف، وذلك لأن حقل JSON الخاص بالإعدادات يتم دمجه دون التحقق من صحته. يتم بعد ذلك تصدير هذه التهيئة كمتغيرات بيئة عند تشغيل مكونات الأرشفة الإضافية، مما يتيح حقن معلمات الأداة لتحقيق تنفيذ التعليمات البرمجية عن بُعد. وعندما يتم تعيين المتغير PUBLIC ADD VIEW على القيمة True، يمكن استغلال هذه الثغرة دون الحاجة إلى المصادقة، حيث إن نقطة النهاية هي أيضًا @csrf exempt (مستثناة من الحماية ضد تزوير الطلبات عبر المواقع، وهي آلية تمنع إرسال أوامر غير مصرح بها من مستخدم يثق به التطبيق الويب). وعلى وجه التحديد، يمكن استخدام المعلمة config لتجاوز مفاتيح مثل YTDLP ARGS EXTRA أو GALLERYDL ARGS EXTRA لتنفيذ أوامر تعسفية عبر علامة --exec الخاصة بالأدوات المعنية.

كحل مؤقت، قم بتعيين PUBLIC ADD VIEW على False لمنع الوصول غير المصادق عليه إلى نقطة النهاية ’/add/‘.

قم بتقييد استخدام المعلمة config في نقطة النهاية ’/add/‘ حتى يتوفر تصحيح.