PT-2026-45756
CVE-2026-42795
·
تاريخ النشر
2026-06-02
·
تاريخ التحديث
2026-10-06
الوصف من
CVSS 4.0
5.1
متوسطةالمقاييسAV:L/AC:L/AT:N/PR:L/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Gleam من 0.10.0-rc1 حتى 1.17.0
الوصف
تسمح مشكلة تتعلق بالروابط الرمزية في عملية تصدير حزمة Hex بتضمين ملفات موجودة خارج جذر المشروع في ملف tarball للحزمة التي تم إنشاؤها. تستخدم أدوات مساعدة تجميع الملفات
gleam files وnative files وprivate files الموجودة في compiler-cli/src/fs.rs الدالة follow links(true) عند مسح الدلائل القابلة للنشر مثل src/ و priv/. ثم تُضاف هذه المسارات إلى أرشيف الحزمة عبر الدالة add path to tar في compiler-cli/src/publish.rs دون التحقق من بقاء الهدف الذي تم تحليله ضمن جذر المشروع. يمكن للمهاجم الذي يمتلك حق الوصول للكتابة إلى مستودع المشروع وضع رابط رمزي في src/ أو priv/ يشير إلى ملفات عشوائية. وعندما يقوم أحد المسؤولين عن الصيانة أو خط أنابيب التكامل المستمر (CI) بتنفيذ الأوامر ”gleam publish“ أو ”gleam export hex-tarball“، يتم تضمين الملفات المحلية التي يمكن للناشر قراءتها، مثل الأسرار أو الرموز المميزة أو مفاتيح SSH، بصمت في حزمة المنتج المنشورة.التوصيات
تحديث Gleam إلى إصدار أحدث من 1.17.0.
تجنب تشغيل ”gleam publish“ أو ”gleam export hex-tarball“ على المشاريع غير الموثوق بها.
مراجعة محتويات مجلدي src/ و priv/ بحثًا عن روابط رمزية غير متوقعة قبل النشر.
تشغيل أوامر النشر في بيئة مقيدة أو معزولة، مثل الحاويات.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾