ثغرة حقن أوامر نظام التشغيل في CherryTree حتى الإصدار 1.7.2 عبر إجراء نقر رابط الويب المخصص

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي CherryTree حتى الإصدار 1.7.2 على ثغرة حقن أوامر نظام التشغيل في CtActions::link_clicked والتي تتيح للمهاجمين تنفيذ الأوامر من خلال تضمين محارف صدفة (shell) خاصة في عناوين روابط الويب. عند تمكين خيار إجراء النقر على رابط الويب المخصص غير الافتراضي، يمكن للمهاجمين توفير مستندات مُصاغة تمرر رموز مثل $(...) أو الفاصلة العكسية (backticks) أو الفاصلة المنقوطة دون تنقيب إلى الدالة std::system، مما يؤدي إلى تشغيل الأوامر بصلاحيات الضحية عند النقر.

المعالجة

1. أحصِ جميع نشرات giuspen cherrytree، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تحذيرhttps://www.vulncheck.com/advisories/cherrytree-through-1.7.2-os-command-injection-via-custom-web-link-action
• مرجعhttps://github.com/giuspen/cherrytree
• مرجعhttps://github.com/giuspen/cherrytree/blob/v1.7.2/src/ct/ct_actions_others.cc#L381-L388
• مرجعhttps://github.com/giuspen/cherrytree/blob/v1.7.2/src/ct/ct_misc_utils.cc#L227-L247
• مرجعhttps://github.com/giuspen/cherrytree/issues/2945