اجتياز المسار في Dockhand ما قبل الإصدار 1.0.54 عبر مسارات بيئة التجميع

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي منتج Dockhand ما قبل الإصدار 1.0.54 على ثغرة اجتياز المسار تسمح للمستخدمين المصدق عليهم بقراءة ملفات .env، والكتابة فوقها، وحذفها خارج المجلد الجذر للتجمعات من خلال ترميز اسم التجميع مرتين. يمكن للمهاجمين إرسال تسلسلات %252e%252e إلى /api/assets/[name]/env/raw لكشف الأسرار عبر البيئات المختلفة، أو الكتابة في الدلائل المحمية، أو تسميم متغيرات النشر.

المعالجة

1. أحصِ جميع نشرات Finsys dockhand، بما فيها بيئات الاختبار.
2. رقِّ Finsys dockhand إلى الإصدار 1.0.54.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/Finsys/dockhand/security/advisories/GHSA-q2vc-4qcx-2vm6
• تحذيرhttps://www.vulncheck.com/advisories/dockhand-before-1.0.54-path-traversal-via-stack-environment-routes