PT-2026-44495
CVE-2026-49128
·
تاريخ النشر
2026-05-28
·
تاريخ التحديث
2026-05-28
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Music Player Daemon (MPD) الأقدم من 0.24.11
الوصف
توجد مشكلة في اجتياز المسار داخل المكون الإضافي للتخزين المحلي في الدالتين
LocalStorage::MapFSOrThrow() وLocalStorage::MapUTF8(). تحدث هذه الثغرة لأن المسار على القرص يتم إنشاؤه عن طريق ربط جذر التخزين بـ URI المقدم من المستخدم كسلاسل نصية عادية دون توحيد، مما يسمح ببقاء مقاطع ’..‘ في المسار الذي تم تحليله. يمكن لمهاجم غير مصدق استخدامه الأمر ’listfiles‘ لتعداد أسماء وأحجام وتواريخ تعديل الدلائل العشوائية التي يمكن لعملية MPD قراءتها، أو الأمر ’albumart‘ لقراءة ملفات الصور في أي دليل خارج الدليل المحدد music directory.التوصيات
التحديث إلى الإصدار 0.24.11 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾