PT-2026-64431
CVE-2026-55495
·
تاريخ النشر
2026-07-24
·
تاريخ التحديث
2026-09-04
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Cloudreve الأقدم من 4.17.0
الوصف
يقوم معالج WOPI PUT RELATIVE بمعالجة المتغير
X-WOPI-SuggestedTarget بشكل غير صحيح، حيث يقوم بتمريره إلى URI.JoinRaw() كمسار بدلاً من اسم ملف. وهذا يسمح باستخدام أجزاء من علامة القطع (/) والنقطتين (..) لتنفيذ اجتياز المسار، مما يمكّن المهاجم من تجاوز دليل الملفات المصدر لإنشاء ملفات أو الكتابة فوقها بشكل مشروط ضمن حساب المالك نفسه.التوصيات
التحديث إلى الإصدار 4.17.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾