PT-2026-45879
CVE-2026-35482
·
تاريخ النشر
2026-06-02
·
تاريخ التحديث
2026-09-27
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات alf.io السابقة للإصدار 2.0-M5-2606
الوصف
توجد ثغرة في آلية الهروب من بيئة الحماية (sandbox) في محرك البرامج النصية للملحق الخاص بـ alf.io، وهو نظام مفتوح المصدر لحجز التذاكر. يمكن للمسؤول المصادق عليه تنفيذ أوامر تعسفية خاصة بنظام التشغيل على الخادم. يستخدم النظام بيئة Rhino معزولة (sandboxed) لتنفيذ جافا سكريبت (JavaScript) مقيدة؛ ومع ذلك، فإن استخدام كائن جافا (Java object) محقون غير محمي
returnClass، مقترنًا بقائمة حظر غير كاملة لشجرة الصياغة المجردة (AST)، يسمح بتجاوز البيئة المعزولة عبر انعكاس جافا (Java reflection). يمكن استغلال هذا الخلل من خلال واجهة برمجة تطبيقات الملحقات (Extensions API).التوصيات
تحديث alf.io إلى الإصدار 2.0-M5-2606.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾