CVE-2026-24486

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

إصدارات Python-Multipart الأقدم من 0.0.22

الوصف

Python-Multipart هو محلل تدفق متعدد الأجزاء لـ Python. توجد مشكلة «تجاوز المسار» عند استخدام خيارات التكوين غير القياسية UPLOAD DIR وUPLOAD KEEP FILENAME=True. يمكن للمهاجم كتابة الملفات التي تم تحميلها في مواقع عشوائية في نظام الملفات عن طريق إنشاء اسم ملف خبيث. تحدث هذه المشكلة لأن المكتبة تبني مسار الملف باستخدام os.path.join()، وإذا كان اسم الملف يبدأ بـ ’/‘، يتم تجاهل جميع مكونات المسار السابقة. وهذا يسمح بتجاوز مجلد التحميل المقصود وكتابة الملفات في مسارات عشوائية. لا تظهر هذه الثغرة الأمنية إلا إذا تم تكوين UPLOAD DIR، وتعيين UPLOAD KEEP FILENAME على True، وتجاوز حجم الملف الذي تم تحميله الحد الأقصى MAX MEMORY FILE SIZE.

التوصيات

قم بالتحديث إلى الإصدار 0.0.22.

أو بدلاً من ذلك، تجنب استخدام UPLOAD KEEP FILENAME=True في إعدادات المشروع.