PT-2026-5702
CVE-2025-66480
·
تاريخ النشر
2026-02-02
·
تاريخ التحديث
2026-03-03
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Wildfire IM الأقدم من 1.4.3
الوصف
يحتوي مكون im-server في Wildfire IM على ثغرة أمنية خطيرة في وظيفة تحميل الملفات داخل com.xiaoleilu.loServer.action.UploadFileAction. يعرض التطبيق نقطة نهاية API ’‘/fs'' التي تتعامل مع عمليات تحميل الملفات متعددة الأجزاء، ولكنه لا يقوم بتنقية اسم الملف المقدم من المستخدم بشكل مناسب. تقوم الطريقة
writeFileUploadData بدمج دليل التخزين المُعد مسبقًا مباشرةً مع اسم الملف في طلب التحميل، دون إزالة تسلسلات التنقل بين الدلائل. وهذا يسمح للمهاجم بتسجيل ملفات عشوائية في أي موقع ضمن نظام ملفات الخادم حيث تتمتع عملية التطبيق بأذونات الكتابة، مما قد يؤدي إلى التنفيذ البعيد للكود (RCE).التوصيات
قم بتحديث Wildfire IM إلى الإصدار 1.4.3 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾