PT-2026-69876 · Crates.Io · Tar-Rs
CVSS v4.0
7.1
عالية
| المتجه | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات tar-rs من 0.4.11 إلى 0.4.46
الوصف
توجد مشكلة في تجاوز الروابط الرمزية (symlink) في الدالة
append dir all() التابعة لوحدة Builder. تحدث هذه المشكلة عندما تقوم عملية تتمتع بامتيازات بأرشفة دليل غير موثوق به، حيث تتبع الدالة الروابط الرمزية (symlinks) — وهي مؤشرات إلى ملفات أو أدلة أخرى — دون التحقق من أن الأهداف التي تم تحليلها تظل ضمن جذر المصدر المقصود. يمكن للمهاجم زرع روابط رمزية في دليل يخضع لسيطرته لإدراج ملفات من خارج جذر المصدر في الأرشيف كملفات عادية، مما يؤدي إلى الكشف غير المصرح به عن الملفات.التوصيات
قم بتحديث tar-rs إلى إصدار أحدث من 0.4.46.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام الدالة
append dir all() عند معالجة الدلائل غير الموثوق بها.استغلال
إصلاح
Link Following
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Tar-Rs