نظام Foxel حتى الإصدار 2.4.0 يعاني من قراءة ملفات دون مصادقة عبر \/api\/fs\/stream و \/api\/fs\/thumb

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

نظام Foxel حتى الإصدار 2.4.0 يحتوي على ثغرة غياب المصادقة التي تسمح للمهاجمين دون مصادقة بقراءة الملفات عن طريق طلب نقاط النهاية \/api\/fs\/stream و \/api\/fs\/thumb. يمكن للمهاجمين توفير بادئة تحميل نظام ملفات افتراضي (VFS) ومسار نسبي لاسترجاع محتويات الملفات بالكامل أو الصور المصغرة عبر جميع التحميلات، متجاوزين منح أذونات PathRule.

المعالجة

1. أحصِ جميع نشرات DrizzleTime Foxel، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تصحيحhttps://github.com/DrizzleTime/Foxel/commit/73d9fa825e1004d37abb7b10faea0cd7f5bcb463
• تحذيرhttps://www.vulncheck.com/advisories/foxel-through-2.4.0-unauthenticated-file-read-via-api-fs-stream-and-api-fs-thumb
• مرجعhttps://github.com/DrizzleTime/Foxel/issues/152
• مرجعhttps://github.com/DrizzleTime/Foxel
• مرجعhttps://github.com/DrizzleTime/Foxel/blob/v2.4.0/domain/virtual_fs/api.py#L164-L182
• مرجعhttps://github.com/DrizzleTime/Foxel/blob/v2.4.0/api/routers.py#L31