PT-2026-38303
CVE-2026-44307
·
تاريخ النشر
2026-05-06
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Mako (لم يتم تحديد الإصدارات المتأثرة)
الوصف
في نظام التشغيل Windows، توجد مشكلة تتعلق باجتياز المسار، حيث يمكن لمُعرفات URI التي تستخدم اجتياز الخط المائل العكسي (على سبيل المثال،
.... secret.txt) يمكنها تجاوز فحوصات اجتياز الدليل في Template. init والتطبيع في TemplateLookup.get template(). يحدث هذا بسبب عدم تطابق بين posixpath، الذي يعامل الخطوط المائلة العكسية كأحرف حرفية، وos.path (وبالتحديد ntpath في نظام Windows)، الذي يعاملها كفواصل للمسار. يمكن للمهاجم استغلال هذه الثغرة عن طريق تمرير أسماء قوالب أو مسارات تضمين يتحكم فيها المستخدم إلى دالة get template()، مما قد يؤدي إلى الكشف عن ملفات خارج دليل القوالب المُعد مسبقًا. وإذا كان الملف الذي تم الوصول إليه يحتوي على صيغة قوالب Mako أو Python، فقد يتم تحليله وتنفيذه.التوصيات
قم بتوحيد علامات الخط المائل العكسي إلى علامات الخط المائل الأمامي في مرحلة مبكرة من مسار معالجة عناوين URI، قبل إجراء أي عمليات على المسار، لضمان سلوك متسق عبر الأنظمة الأساسية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾