PT-2026-56242
CVE-2026-49471
·
تاريخ النشر
2026-07-07
·
تاريخ التحديث
2026-07-20
الوصف من
CVSS 3.1
8.3
عاليةالمقاييسAV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Serena الأقدم من 1.5.2
الوصف
تكشف لوحة التحكم المدمجة على الويب عن واجهة برمجة تطبيقات (API) لـ Flask غير خاضعة للمصادقة على منفذ ثابت يمكن التنبؤ به. تفتقر واجهة برمجة التطبيقات هذه إلى المصادقة، والحماية من تزوير الطلبات عبر المواقع (CSRF)، والتحقق من صحة رأس المضيف (Host). تسمح هجمة إعادة ربط DNS — وهي تقنية تتجاوز سياسة «نفس المنشأ» (Same-Origin Policy) عن طريق تغيير عنوان IP المرتبط باسم النطاق — لصفحة ويب ضارة بالوصول إلى واجهة برمجة التطبيقات هذه عبر المتصفح. وهذا يمكّن المهاجم من كتابة محتوى تعسفي في مخزن الذاكرة الدائمة للوكيل. وعند دمج هذه التسلسلات مع الدالة
execute shell command() باستخدام shell=True، فإنها تسمح بتنفيذ التعليمات البرمجية عن بُعد إذا زار المستخدم صفحة ويب ضارة أثناء تشغيل البرنامج.التوصيات
قم بالتحديث إلى الإصدار 1.5.2.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾