PT-2026-69130
CVE-2026-47659
·
تاريخ النشر
2026-08-07
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Pathling Server الأقدم من 2.0.0
الوصف
تسمح نقطة النهاية
/$result للمتصل الذي يمتلك معرّف مهمة تصدير غير متزامن صالح بتقديم قيم لمعلمة file تحتوي على تسلسلات لاجتياز المسار. يقوم المعالج بالتحقق من job ولكنه يفشل في تطبيع مسار file المطلوب أو حصره في الدليل المحدد jobs/<jobId> قبل الوصول إليه كمورد لنظام الملفات. ونظرًا لأن مساحة التخزين المؤقتة للتصدير غير المتزامن تقع تحت جذر قاعدة بيانات المستودع نفسه مثل جداول الموارد الدائمة، يمكن للمهاجم الاستفادة من مهمة التصدير الخاصة به لقراءة ملفات أخرى من المستودع.التوصيات
التحديث إلى الإصدار 2.0.0.
تعطيل عمليات التصدير غير المتزامن
pathling.operations.exportEnabled وpatientExportEnabled وgroupExportEnabled وbulkSubmitEnabled كإجراء تخفيفي مؤقت.تمكين المصادقة وتقييد إمكانية التصدير على المتصلين الموثوق بهم.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾