PT-2026-79006
CVE-2026-76833
·
تاريخ النشر
2026-08-20
·
تاريخ التحديث
2026-09-24
الوصف من
CVSS 4.0
8.4
عاليةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
حزمة npm @cgauge/yaml (لم يتم تحديد الإصدارات المتأثرة)
الوصف
توجد ثغرة تسمح للمهاجمين بتنفيذ تعليمات جافا سكريبت تعسفية عن طريق تضمين علامة YAML مخصصة من نوع
!js. أثناء تحليل المستند، تقوم دالة الاستدعاء (callback) الخاصة بالبنية باستدعاء دالة eval() دون قيد أو شرط على قيم سلاسل النص التي يزودها المهاجم. تتعرض التطبيقات التي تقوم بتحليل مدخلات YAML غير موثوق بها باستخدام هذه المكتبة لسلطة تشغيل Node.js الكاملة، والتي تشمل القدرة على الوصول إلى متغيرات البيئة، والقراءة والكتابة في نظام الملفات، والوصول إلى الشبكة، وتنفيذ العمليات الفرعية. لا يتوفر بديل في الوضع الآمن أو آلية لإلغاء الاشتراك.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾