CVE-2026-53656

إصدارات FiftyOne السابقة للإصدار 1.17.0

يقوم خادم تطبيق/واجهة برمجة تطبيقات (API) FiftyOne ونقطة النهاية /media بتعيين رأس «مشاركة الموارد عبر الأصول» (CORS) متساهل دون شروط، مما يسمح لأي موقع ويب يزوره المستخدم بإجراء طلبات عبر الأصول إلى خادم FiftyOne قيد التشغيل محليًّا وقراءة الردود. ونظرًا لعدم مصادقة الخادم، فإن هذا يسمح لصفحة ويب ضارة بطلب ملفات عشوائية بصمت من نظام الملفات المحلي عبر نقطة النهاية /media باستخدام المتغير filepath، مما يتيح تسريب البيانات عن بُعد للملفات الحساسة مثل مفاتيح SSH وبيانات اعتماد السحابة وملفات .env. تؤثر هذه المشكلة على المستخدمين الذين يشغلون خادم التطبيق المدمج محليًّا أثناء تصفح الويب، لا سيما على المتصفحات التي لا تفرض إجراءات حماية الوصول إلى الشبكة الخاصة.

قم بالتحديث إلى إصدار FiftyOne 1.17.0 أو أحدث.

لا تقم بتشغيل خادم تطبيقات FiftyOne أثناء تصفح مواقع الويب غير الموثوق بها.

حافظ على ربط خادم التطبيقات بـ localhost وتجنب تعريضه على واجهة شبكة.

استخدم متصفحًا يفرض إجراءات حماية الوصول إلى الشبكة الخاصة.