PT-2026-68142
CVE-2026-71269
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
7.2
عاليةالمقاييسAV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Node-RED (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تحتوي وحدة تخزين مكتبة نظام الملفات المحلي على ثغرة تتعلق باجتياز المسار في الدالتين
getLibraryEntry() وsaveLibraryEntry(). تحدث هذه المشكلة لأن معلمة المسار التي يزودها المستخدم يتم ضمها مباشرةً إلى مسار نظام الملفات عبر fspath.join(libDir, type, path) دون تنقية أو فحوصات احتواء أو تطبيع المسار. يمكن الوصول إلى الثغرة عبر نقاط النهاية GET و POST /library/:lib/:type/*path. يمكن للمستخدم المصادق عليه استخدام تسلسلات ../ لقراءة ملفات عشوائية خارج دليل المكتبة. يمكن للمستخدمين الذين يتمتعون بحق الوصول للكتابة إنشاء ملفات عشوائية، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد من خلال حقن cron أو عن طريق تعديل ملف authorized keys في SSH.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾