PT-2026-38252
CVE-2026-44372
·
تاريخ النشر
2026-05-06
·
تاريخ التحديث
2026-05-13
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Nitro الأقدم من 2.13.4
إصدارات Nitro السابقة للإصدار 3.0.260429-beta
الوصف
توجد مشكلة تسمح للمهاجم بتحويل قاعدة مسار إعادة التوجيه التي تستخدم أحرف البدل إلى إعادة توجيه عبر المضيف عن طريق إدراج شرطة مائلة إضافية بعد بادئة القاعدة. يحدث هذا عندما يستخدم المشروع
routeRules مع إدخال redirect ويستخدم الهدف لاحقة أحرف البدل /** لإعادة توجيه المسارات الفرعية. يقوم وقت تشغيل Nitro بإزالة بادئة القاعدة وربط الجزء المتبقي بالهدف؛ وإذا كان الجزء المتبقي يبدأ بـ //، يتم الاحتفاظ به، مما يؤدي إلى قيام المتصفح بحلّه كعنوان URL نسبي للبروتوكول إلى نطاق خارجي. وينتج عن ذلك إعادة توجيه مفتوحة حيث يكون الهدف تحت سيطرة المهاجم بالكامل. لا تؤثر هذه المشكلة على عمليات النشر التي تستخدم الإعدادات المسبقة vercel أو netlify أو cloudflare-pages أو edgeone، حيث تتعامل هذه الخدمات مع عمليات إعادة التوجيه على مستوى شبكة توزيع المحتوى (CDN) بدلاً من بيئة تشغيل Nitro.التوصيات
قم بالتحديث إلى الإصدار 2.13.4 أو أحدث.
قم بالتحديث إلى الإصدار 3.0.260429-beta أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾