CVE-2026-52855

إصدارات Wings الأقدم من 1.12.3

يكشف برنامج Wings تكوين الخدمة (daemon) بالكامل لمحرك قوالب ملفات التكوين egg. عند عرض ملفات التكوين، يتم حل أي عنصر نائب {{config.<path>}} في قيمة الاستبدال مقابل تكوين الخدمة الكامل دون قيود. ونظرًا لأن اللوحة (Panel) تستبدل قيم متغيرات egg التي يتحكم فيها المستخدم في عمليات الاستبدال هذه، يمكن لمستخدم ذي امتيازات منخفضة إدراج عنصر نائب {{config.*}}. وهذا يسمح للمستخدم بقراءة المعلومات الحساسة المكتوبة في ملف داخل الخادم الخاص به عبر مدير الملفات أو SFTP، بما في ذلك {{config.token}} (رمز الخدمة الخاص بالعقدة المستخدم كحامل لواجهة برمجة التطبيقات ومفتاح توقيع HMAC)، و{{config.token id}}، و{{config.docker.registries}} (بيانات اعتماد سجل الحاويات). قد يؤدي هذا الضعف إلى تصعيد الامتيازات واختراق العقدة بالكامل، مما يسمح للمهاجم بتزوير رموز المصادقة والتصرف ضد كل خادم على تلك العقدة.

قم بتحديث Wings إلى الإصدار 1.12.3 أو أحدث.

بعد التحديث، قم بتدوير رموز الخلفية للعقد المتأثرة عن طريق إعادة تعيين الرمز في لوحة الإدارة وإعادة نشر ملف config.yml إلى العقدة.

كحل مؤقت، قم بمراجعة ملفات eggs للتأكد من عدم عرض أي متغير قابل للتعديل من قبل المستخدم في ملف التكوين أو قم بتمييز هذه المتغيرات على أنها غير قابلة للتعديل.