PT-2026-56480
CVE-2026-53951
·
تاريخ النشر
2026-07-08
·
تاريخ التحديث
2026-09-10
الوصف من
CVSS 4.0
8.8
عاليةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Copier من 9.5.0 إلى 9.15.1
الوصف
توجد مشكلة في مطابقة البادئة الخاصة بإعداد
trust داخل ملف copier/ settings.py، حيث تتم مقارنة عنوان URL النموذجي ببادئة موثوقة باستخدام str.startswith دون توحيد المسار. ونظرًا لأن عنوان URL يتم تطبيعه أثناء عملية الاسترداد الفعلية (باستخدام Path.resolve() للمسارات المحلية وإزالة مقطع النقطة في libcurl لـ HTTPS)، فإن مرجع القالب الذي يحتوي على .. والذي يبدأ نصيًا ببادئة موثوقة يمكن منحه الثقة. وهذا يسمح لقالب يتحكم فيه المهاجم بتنفيذ tasks أو migrations أو jinja extensions دون مطالبة --trust، مما يؤدي إلى تنفيذ أوامر تعسفية.التوصيات
قم بالتحديث إلى الإصدار 9.15.2.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾