CVE-2026-9323

urwid (الإصدارات المتأثرة غير محددة)

تستخدم الخلفية الخاصة بعرض الويب في ملف urwid/display/web.py مولد الأرقام العشوائية المزيف (PRNG) Mersenne Twister الخاص بلغة Python لتوليد معرّفات جلسات الويب urwid id داخل الدالة Screen.start(). ونظرًا لأن هذا المولد العشوائي (PRNG) غير آمن من الناحية التشفيرية، يمكن للمهاجم الذي يراقب حوالي 334 معرّف جلسة، مثل تلك الموجودة في رأس استجابة HTTP X-Urwid-ID، إعادة بناء الحالة الداخلية والتنبؤ بجميع معرّفات الجلسات السابقة والمستقبلية. بالإضافة إلى ذلك، تُستخدم هذه المعرّفات كأسماء ملفات لملفات FIFO التي يتم إنشاؤها في الدليل /tmp القابل للعرض للعالم، مما يسمح لأي مستخدم محلي بتعداد رموز الجلسات النشطة. يتيح معرّف الجلسة الصالح للمهاجم قراءة شاشة جهاز الضحية عبر نقطة نهاية الاستقصاء، أو إدخال ضغطات مفاتيح — مما قد يؤدي إلى تنفيذ تعليمات برمجية على مستوى نظام التشغيل في حالة تشغيل شل — أو تعطيل الجلسة عن طريق إغراق قائمة FIFO.

قم بتحديث urwid إلى الإصدار الذي يحتوي على التعديل 24acd12.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الخلفية الخاصة بعرض الويب أو تجنب استخدامها ما لم تكن هناك ضرورة ملحة لذلك.