PT-2026-5007
CVE-2026-23892
·
تاريخ النشر
2026-01-27
·
تاريخ التحديث
2026-07-07
الوصف من
CVSS 4.0
6.0
متوسطةالمقاييسAV:A/AC:H/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OctoPrint حتى الإصدار 1.11.5 بما في ذلك
الوصف
يتأثر OctoPrint، وهو واجهة ويب للتحكم في طابعات ثلاثية الأبعاد، بهجوم توقيتي قد يسمح لمهاجم لديه وصول إلى الشبكة باستخراج مفاتيح واجهة برمجة التطبيقات (API). تنبع المشكلة من استخدام المقارنة القائمة على الأحرف أثناء التحقق من صحة مفتاح واجهة برمجة التطبيقات (API)، والتي تتوقف عند أول حرف غير مطابق. ويؤدي ذلك إلى وقت تنفيذ غير ثابت، مما قد يكشف معلومات عن المفتاح من خلال قياسات زمن الاستجابة. تعتمد احتمالية نجاح الاستغلال على ظروف الشبكة، مثل زمن الوصول والضوضاء. لم يتم التوصل إلى إثبات المفهوم، ولكن إمكانية استخراج مفتاح API موجودة. عملية التحقق من صحة مفتاح API معرضة لهجمات التوقيت. تُستخدم «ردود رفض الوصول» لتخمين أحرف مفتاح API.
التوصيات
يجب تحديث الإصدارات الأقدم من 1.11.6 إلى الإصدار 1.11.6 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾