PT-2026-60144
CVE-2026-61449
·
تاريخ النشر
2026-07-15
·
تاريخ التحديث
2026-09-17
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Grav الإصدار 2.0.1
الوصف
يوجد ثغرة في ZipArchiver و GPMInstaller تسمح بتجاوز الحد الأقصى لحجم ملفات ”قنبلة فك الضغط“. يقوم النظام بحساب الحجم غير المضغوط عن طريق جمع القيم المعلنة في رأس الدليل المركزي لملف ZIP لكل إدخال عبر
ZipArchive::statIndex()[’size‘] ومقارنتها بقيمة system.gpm.archive.max uncompressed size قبل الاستخراج. ونظرًا لأن الحجم المُعلن عنه يمكن تزويره ولا يتم التحقق منه مقابل الدفق الفعلي بعد الضغط، فإن أرشيفًا مصممًا خصيصًا بأحجام صغيرة مُعلنة لكل إدخال يمكنه تجاوز هذا الحد. وعند استدعاء extractTo()، يتم كتابة المحتوى الفعلي الأكبر حجمًا، مما قد يؤدي إلى استنفاد مساحة القرص أو نفاد العناصر (inode). ويتطلب ذلك أن يكون الأرشيف مقدمًا من مصدر حزمة أو من خلال تحميل من قبل المسؤول.التوصيات
تحديث Grav إلى الإصدار 2.0.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾