ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تحتوي GoFound حتى الإصدار 1.4.1 على ثغرة اجتياز المسار والتي تسمح للمهاجمين دون مصادقة بحذف مجلدات عشوائية عن طريق توفير تسلسلات ../ في معامل قاعدة البيانات. يمكن للمهاجمين إرسال طلبات GET إلى /api/db/create و /api/db/drop، إما مباشرة أو عبر متصفح الضحية، مما يؤدي إلى تشغيل os.RemoveAll على المجلدات الموجودة خارج مجلد البيانات.
المعالجة
المراجع
- تحذيرhttps://www.vulncheck.com/advisories/gofound-through-1.4.1-path-traversal-via-database-parameter-in-api-db-drop
- مرجعhttps://github.com/sea-team/gofound/blob/v1.4.1/searcher/container.go
- مرجعhttps://github.com/sea-team/gofound/blob/v1.4.1/searcher/engine.go
- مرجعhttps://github.com/sea-team/gofound/issues/101
- مرجعhttps://vul.yulun.ac.cn/20261102/gofound/