PT-2026-68010
CVE-2026-70374
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات HashBrown CMS الأقدم من 1.4.7
الوصف
توجد ثغرة تتعلق بحقن أوامر نظام التشغيل في روتين إنشاء الصور المصغرة عند تحميل الوسائط. تقوم الدالة
Media.generateThumbnail() الموجودة في src/Server/Entity/Resource/Media.js بإنشاء مسار ملف مؤقت باستخدام Path.extname(filename) وتمريره دون إزالة الأحرف الخطرة إلى أمر شل يتم تنفيذه عبر AppService.exec(). ونظرًا لأن مرشح نوع MIME في getMIMEType() (الموجود في src/Common/utilities.js) يقطع الامتدادات عند أول حرف «?» بينما لا تفعل Path.extname() ذلك، يمكن للمستخدم المصادق عليه الذي يتمتع بنطاق موارد الوسائط تجاوز عمليات التحقق من نوع الصورة. باستخدام اسم ملف مثل x.jpg?$(command)، يمكن للمهاجم تنفيذ أوامر تعسفية لنظام التشغيل ضمن سياق عملية Node.js عبر نقطة النهاية POST ’/api/{project}/{environment}/media/new‘.التوصيات
تحديث نظام إدارة المحتوى HashBrown إلى الإصدار 1.4.7 أو أحدث.
كإجراء تخفيفي مؤقت، تقييد الوصول إلى نقطة النهاية POST ’/api/{project}/{environment}/media/new‘ للمستخدمين الذين لا يحتاجون بشكل ضروري إلى امتيازات تحميل الوسائط.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾