AB Download Manager النسخ قبل 1.11.2 مصابة بثغرة كتابة ملفات عشوائية عبر طلب تزوير الطلبات عبر المواقع (CSRF) في مسار •start-headless-download

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي AB Download Manager في الإصدارات قبل 1.11.2 على ثغرة تزوير الطلبات عبر المواقع في واجهة برمجة تطبيقات تكامل المتصفح التي لا تتطلب مصادقة، مما يسمح للمهاجمين عن بُعد بكتابة ملفات يختارونها في مسارات عشوائية. يمكن لصفحة ويب خبيثة إرسال طلب من نوع text/plain إلى مسار •start-headless-download متضمنة قيماً معدلة للمجلد والاسم، مما يؤدي إلى وضع حمولات برمجية في مجلدات بدء التشغيل لتنفيذ الأوامر عند تسجيل الدخول التالي.

المعالجة

1. أحصِ جميع نشرات amir1376 ab-download-manager، بما فيها بيئات الاختبار.
2. رقِّ amir1376 ab-download-manager إلى الإصدار 1.11.2.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/amir1376/ab-download-manager/commit/34cd27af6a9a6c2046af112bc9bd34828fec0bbc
• تحذيرhttps://www.vulncheck.com/advisories/ab-download-manager-before-1.11.2-arbitrary-file-write-via-start-headless-download-csrf
• مرجعhttps://github.com/amir1376/ab-download-manager/issues/1489
• مرجعhttps://github.com/amir1376/ab-download-manager
• مرجعhttps://github.com/amir1376/ab-download-manager/blob/v1.11.1/integration/server/src/main/kotlin/com/abdownloadmanager/integration/Endpoints.kt#L27-L75
• مرجعhttps://github.com/amir1376/ab-download-manager/blob/v1.11.1/desktop/app/src/main/kotlin/com/abdownloadmanager/desktop/integration/IntegrationHandlerImp.kt#L55-L88