PT-2026-42909
CVE-2026-3515
·
تاريخ النشر
2026-05-24
·
تاريخ التحديث
2026-07-22
الوصف من
CVSS 3.1
8.5
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Prefect الإصدار 3.6.18
الوصف
تسمح مشكلة في كتلة
GitHubRepository الخاصة بتكامل prefect-github بحقن خيارات خط أوامر git تعسفية عبر الحقل reference. يحدث هذا لأن الحقل reference يتم ربطه مباشرةً بسلسلة أمر git clone دون تنقية مناسبة قبل تحليله بواسطة shlex.split(). وقد يؤدي ذلك إلى تزوير الطلبات من جانب الخادم (SSRF) أو سرقة بيانات الاعتماد أو تنفيذ التعليمات البرمجية عن بُعد (RCE) عن طريق إدخال خيارات مثل -c. الوظائف المتأثرة هي aget directory() وget directory() الموجودة في src/integrations/prefect-github/prefect github/repository.py.التوصيات
بالنسبة للإصدار 3.6.18، قم بتقييد استخدام حقل
reference في كتلة GitHubRepository حتى يتم تطبيق الإصلاح. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾