PT-2026-49716
CVE-2026-12398
·
تاريخ النشر
2026-06-16
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
galaxy ng (لم يتم تحديد الإصدارات المتأثرة)
الوصف
توجد مشكلة حقن الأوامر في واجهة برمجة التطبيقات (API) القديمة لاستيراد الأدوار (الإصدار 1)، حيث تقوم الدالة
do git checkout() بإدراج أسماء مراجع git غير معقمة، مثل أسماء الفروع أو العلامات، في أوامر shell التي يتم تنفيذها عبر subprocess.run() مع shell=True. يمكن للمستخدم المصادق عليه الذي يتحكم في مستودع git استخدام أحرف خاصة في shell ضمن اسم فرع أو علامة لتنفيذ تعليمات برمجية عن بُعد على عامل pulp. لا يمكن الوصول إلى نقطة النهاية هذه إلا عندما يتم تعيين المتغير GALAXY ENABLE LEGACY ROLES على True.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قم بتعيين
GALAXY ENABLE LEGACY ROLES على False لتعطيل واجهة برمجة التطبيقات القديمة لاستيراد الأدوار المعرضة للخطر. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾