PT-2026-46879
CVE-2026-47192
·
تاريخ النشر
2026-06-01
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 4.0
2.1
منخفضةالمقاييسAV:N/AC:H/AT:P/PR:L/UI:P/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات kas الأقدم من 5.3
الوصف
يقوم البرنامج بمعالجة تكوين المستودعات قبل التحقق من صحة توقيعات تلك المستودعات. في ظل ظروف معينة، يمكن للمهاجم الذي سيطر على مستودع مرجعي أن يستبدل المستودع الأصلي بمستودع آخر يخضع لسيطرته. يحدث هذا إذا كان تكوين الضحية يتضمن ملفًا من المستودع الذي تعرض للهجوم، وكانت حالة المستودع مشار إليها بواسطة علامة بدون معرّف التزام (commit ID)، وكان مفتاح التحقق مخزّنًا كملف في مستودع بدون بصمة محددة، ولم يتم تعيين المتغير
source dir. في هذا السيناريو، يمكن للمهاجم تعديل التكوين المضمن لاستبدال مفتاح التحقق من توقيع العلامة بمفتاح من اختياره.التوصيات
التحديث إلى الإصدار 5.3.
تثبيت مفتاح التوقيع المتوقع عبر بصمته عند تخزينه كملف في مستودع.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾