CVE-2026-48598

إصدارات tesla من 0.8.0 إلى 1.18.2

يؤدي الترميز أو الهروب غير الصحيح للمخرجات إلى السماح بحقن رأس جزء متعدد الأجزاء من خلال قيم معلمة Content-Disposition غير المحروصة. تقوم الدالة part headers for disposition() باستيفاء معلمات التوزيع دون التحقق من صحة أحرف إرجاع العربة (r) أو تغذية السطر ( ) أو علامات الاقتباس المزدوجة. يتم استلام هذه القيم من الجهة المستدعية عبر add field() (المعلمة name) وadd file() (المعلمة filename) وadd file content() (المعلمة filename وخيارات التوزيع الأخرى). يمكن أن يؤدي حرف الاقتباس المزدوج إلى إغلاق معلمة مقتبسة قبل الأوان، في حين أن تسلسلات r يمكن أن تنهي رأس Content-Disposition لبدء رأس مزور جديد أو إنهاء كتلة الرأس لإضافة بايتات في مقدمة نص الجزء. بالإضافة إلى ذلك، يستخدم مسار اسم الملف الافتراضي في add file() دالة Path.basename()، التي لا تزيل أحرف إرجاع العربة أو تغذية السطر.

قم بالتحديث إلى الإصدار 1.18.3.

تحقق من صحة قيم معلمات التوزيع قبل تمريرها إلى add field() أو add file() أو add file content()، وارفض أي قيمة تحتوي على r أو أو علامات الاقتباس المزدوجة.