PT-2026-50717
CVE-2026-41083
·
تاريخ النشر
2026-04-18
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 4.0
7.3
عاليةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:P
اسم البرنامج المصاب والإصدارات المتأثرة
OCaml الإصدارات السابقة لـ 4.14.4
الوصف
في نظام التشغيل Windows، تفشل الدالة
Filename.quote command في هروب بعض الأحرف بشكل صحيح، بما في ذلك أحرف الميتا الخاصة بالأنابيب (pipe) وإعادة التوجيه، بالإضافة إلى أحرف إرجاع العربة (CR) وتغذية السطر (LF) المضمنة. يسمح هذا القصور للمهاجم بتنفيذ حقن لأوامر shell إذا تمكن من التحكم في الوسائط، مثل stdin أو stdout أو stderr لبرنامج سيتم تنفيذه. بالإضافة إلى ذلك، يمكن لـ Unix.create process استدعاء برامج .bat أو .cmd على نظام Windows باستخدام وسائط لا يمكن اقتباسها بأمان، مما يؤدي إلى حقن وسائط ملفات الدفعات (batch-file) عبر maybe quote أو make cmdline.التوصيات
تحديث OCaml إلى الإصدار 4.14.4 أو إصدار أحدث.
كإجراء تخفيف مؤقت، تجنب استخدام
Filename.quote command على نظام Windows مع الوسائط التي يوفرها المستخدم.
تقييد استخدام Unix.create process* أو Unix.open process* على نظام Windows عند استدعاء برامج .bat أو .cmd باستخدام وسائط يوفرها المستخدم. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾