PT-2026-40802
CVE-2026-8328
·
تاريخ النشر
2026-05-13
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
CPython (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تفشل الدالة
ftpcp() الموجودة في Lib/ftplib.py في استخدام عنوان النظير الفعلي، بل تعتمد بدلاً من ذلك على عنوان المضيف الذي يقدمه الخادم أثناء تنفيذ أمر PASV. يحدث هذا لأن ftpcp() تستدعي parse227() مباشرةً وتمرر عنوان IP والمنفذ الخامين اللذين يمكن للمهاجم التحكم فيهما إلى target.sendport()، مما يؤدي إلى تزوير الطلب من جانب الخادم (SSRF)، حيث يتم خداع الخادم لإجراء طلبات غير مقصودة إلى موارد داخلية أو خارجية.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾