PT-2026-5124
CVE-2026-24739
·
تاريخ النشر
2026-01-28
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
6.3
متوسطةالمقاييسAV:L/AC:H/PR:N/UI:R/S:U/C:N/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Symfony الأقدم من 5.4.51
إصدارات Symfony الأقدم من 6.4.33
إصدارات Symfony الأقدم من 7.3.11
إصدارات Symfony الأقدم من 7.4.5
إصدارات Symfony الأقدم من 8.0.5
الوصف
لم يكن مكون Process في Symfony يعالج بعض الأحرف بشكل صحيح، وتحديدًا الحرف
=، عند إخراط الحجج في أنظمة Windows. عند تشغيل PHP من بيئة تعتمد على MSYS2، مثل Git Bash، وتشغيل ملفات تنفيذية أصلية لنظام Windows، قد يؤدي تحويل الحجج/المسارات في MSYS2 إلى معالجة الحجج غير الموضوعة بين علامتي اقتباس والتي تحتوي على هذه الأحرف بشكل غير صحيح. قد يؤدي ذلك إلى تلقي العمليات التي تم تشغيلها لوسائط تالفة أو مقطوعة، مما يخل بالسلوك المتوقع من Symfony. إذا استخدم أحد التطبيقات مكون Process في Symfony لاستدعاء أوامر إدارة الملفات (مثل: rmdir، del) مع وسيلة مسار تحتوي على =، فقد تقوم طبقة التحويل في MSYS2 بتعديل الوسيلة أثناء التنفيذ. قد يؤدي ذلك إلى تنفيذ العمليات في مسار غير مقصود، مما قد يشمل حذف الملفات أو المجلدات. وتزداد أهمية هذه المشكلة بشكل خاص عندما تؤثر المدخلات غير الموثوقة على معلمات العملية، مثل مسارات المستودعات، أو مسارات الملفات المستخرجة، أو المجلدات المؤقتة، أو الإعدادات التي يتحكم فيها المستخدم.التوصيات
يجب تحديث الإصدارات الأقدم من 5.4.51 إلى الإصدار 5.4.51 أو أحدث.
الإصدارات الأقدم
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾