CVE-2026-48126

إصدارات Algernon الأقدم من 1.17.8

عند التشغيل باستخدام علامة --domain أو علامة --letsencrypt (التي تُفعّل --domain تلقائيًا)، يقوم معالج الطلبات بتحديد الدليل المُقدَّم عن طريق ربط --dir المُهيَّأ بقيمة رأس Host المُقدَّم من العميل باستخدام filepath.Join دون التحقق من الصحة. يمكن للمهاجم تقديم رأس Host: .. لاجتياز مستوى واحد فوق جذر المستند. وهذا يسمح بقراءة الملفات بشكل تعسفي وعرض قائمة كاملة بمحتويات الدليل الأصلي. بالإضافة إلى ذلك، إذا كان ملف .lua موجودًا في الدليل الأصلي، فقد يؤدي ذلك إلى تنفيذ Lua من جانب الخادم، مما يتيح تنفيذ أوامر shell بصفتك مستخدم العملية عبر الدالة run3().

قم بالتحديث إلى الإصدار 1.17.8.

كحل مؤقت، تجنب استخدام العلامتين --domain أو --letsencrypt حتى يتم تطبيق التحديث.