PT-2026-65798
CVE-2026-59247
·
تاريخ النشر
2026-07-29
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 4.0
7.6
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Gleam من 0.18.0 حتى 1.17.x
الوصف
يؤدي عدم كفاية التحقق من صحة البيانات إلى تمكين المهاجم المتواجد في الوسط من استبدال محتويات حزمة Hex مزورة أثناء حل التبعيات. في حين أن Gleam يجلب بيانات تعريف الحزمة من مستودع Hex تم التحقق من توقيعه، فإن الدالة
gleam cli::dependencies::lookup package تُرسل طلبًا لاحقًا إلى واجهة برمجة تطبيقات Hex غير موقعة عبر gleam core::hex::get package release. يقوم النظام بتسجيل outer checksum وأسماء التبعيات من استجابة JSON غير الموقعة هذه في ملف manifest.toml بدلاً من استخدام البيانات الوصفية التي تم التحقق منها. يمكن للمهاجم القادر على اعتراض حركة مرور TLS باستخدام شهادة موثوقة وتعديل كل من استجابة واجهة برمجة التطبيقات (API) وملف tarball الخاص بالمستودع أن يقدم أرشيف حزمة مزورًا بمجموع اختباري مطابق. يؤدي هذا إلى فقدان السلامة حيث يقبل Gleam المحتويات المزورة ويستخرجها. تؤثر هذه المشكلة بشكل خاص على المشاريع التي تحل أو تُحدّث تبعيات Hex، مثل الحالات التي يكون فيها ملف البيان مفقودًا أو يتم تعديل التبعيات.التوصيات
تحديث Gleam إلى الإصدار 1.18.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾