PT-2026-40780
CVE-2026-22707
·
تاريخ النشر
2026-05-13
·
تاريخ التحديث
2026-05-14
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات @strapi/upload السابقة للإصدار 5.33.3
الوصف
في المكون الإضافي Upload، فشلت نقاط نهاية واجهة برمجة تطبيقات المحتوى (Content API) في فرض قيود أنواع MIME التي قام المسؤول بتكوينها والمحددة في
plugin.upload.security.allowedTypes وdeniedTypes. ورغم أن هذه القيود كانت سارية المفعول في لوحة الإدارة، إلا أن الفحص الأمني enforceUploadSecurity كان مفقودًا من وحدة التحكم في واجهة برمجة تطبيقات المحتوى (Content API). ونتيجة لذلك، تجاوزت معالجات uploadFiles وreplaceFile، بالإضافة إلى الغلاف upload، عملية الكشف عن أنواع MIME وقوائم السماح/الرفض.يمكن للمستخدم المصادق عليه الذي يمتلك أذونات التحميل عبر واجهة برمجة تطبيقات المحتوى (Content API) تحميل أنواع الملفات غير المسموح بها، مثل HTML وSVG. إذا تم تقديم الملفات التي تم تحميلها من نفس مصدر لوحة الإدارة، فيمكن للمهاجم تحميل ملف HTML أو SVG ضار. وعندما يفتح المسؤول هذا الملف، يمكن أن يؤدي ذلك إلى تنفيذ جافا سكريبت داخل مصدر الإدارة، مما قد يؤدي إلى اختطاف جلسة عمل المسؤول والقيام بإجراءات إدارية غير مصرح بها عبر واجهة برمجة تطبيقات الإدارة.
التوصيات
تحديث @strapi/upload إلى الإصدار 5.33.3 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾