CVE-2026-53537

إصدارات Python-Multipart الأقدم من 0.0.30

كانت الدالة parse options header تقوم بتحليل رؤوس Content-Disposition وContent-Type باستخدام email.message.Message، الذي يطبق عملية فك التشفير وفقًا لمعايير RFC 2231/5987. وهذا يسمح لصيغ المعلمات الموسعة، مثل filename* وname* وأشكال الاستمرار (filename*0 وfilename*1)، بتجاوز المعلمات العادية عند وجود كليهما. ومع ذلك، فإن RFC 7578 §4.2 يحظر صراحةً استخدام صيغة filename* في multipart/form-data.

وهذا يؤدي إلى تعارض في التفسير حيث قد تفسر المكونات الموجودة في المراحل الأولية (مثل جدران الحماية WAF أو الوكلاء أو البوابات) التي تتبع RFC 7578 أو لا تنفذ فك التشفير وفقًا لمعايير RFC 2231/5987 الرؤوس بشكل مختلف عن الخلفية. يمكن للمهاجم استغلال هذا الأمر لتهريب اسم حقل أو اسم ملف مختلف عبر أداة الفحص. يؤثر هذا على واجهات برمجة التطبيقات parse options header وFormParser وcreate form parser وparse form، كما يؤثر على Starlette/FastAPI عبر request.form()، مما يعرض القيم المهربة كأسماء حقول النموذج أو UploadFile.filename.

تشمل العواقب المحتملة تجاوز ضوابط الوصول أو التحميل المستندة إلى أسماء الحقول أو أسماء الملفات، وعبور المسار إذا كان التطبيق يبني مسارات نظام الملفات من اسم الملف الذي تم تحليله دون تنقية، حيث يتم فك تشفير التسلسلات المشفرة بالنسب المئوية مثل ..%2F.

قم بالتحديث إلى الإصدار 0.0.30 أو أحدث.