PT-2026-63552
CVE-2026-59921
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Netty السابقة للإصدار 4.1.136.Final
إصدارات Netty السابقة للإصدار 4.2.16.Final
الوصف
يقوم
HttpPostRequestEncoder في Netty بإنشاء نصوص طلبات HTTP متعددة الأجزاء عن طريق ربط أسماء الملفات وأسماء الحقول التي يقدمها المستخدم مباشرةً في رؤوس MIME Content-Disposition دون التحقق من صحة أحرف CRLF (Carriage Return Line Feed) أو تنقيتها. تُستخدم أحرف CRLF كمفصلات لرؤوس MIME، مما يسمح للمهاجم الذي يتحكم في اسم الملف بحقن رؤوس MIME تعسفية في جزء نص الطلب متعدد الأجزاء. يحدث هذا لأن أداة الترميز وطرق setFilename() في DiskFileUpload وMemoryFileUpload وMixedFileUpload لا تعمل على تحييد هذه الأحرف. قد يؤدي ذلك إلى انتحال نوع المحتوى (Content-Type)، أو تنفيذ هجمات البرمجة النصية عبر المواقع (XSS) المخزنة عن طريق تجاوز نوع الملف إلى HTML، أو حقن رؤوس مخصصة قد تؤثر على البرامج الوسيطة اللاحقة ومنطق التطبيق.التوصيات
تحديث Netty إلى الإصدار 4.1.136.Final أو أحدث.
قم بتحديث Netty إلى الإصدار 4.2.16.Final أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام
HttpPostRequestEncoder أو قم بتنفيذ عملية تنقية CRLF يدويًّا على جميع أسماء الملفات وأسماء الحقول التي يقدمها المستخدم قبل معالجتها بواسطة أداة التشفير. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾