كل الثغرات
CWE-436
عالية
CVSS 7.4
GuardDog — اختلاف في قراءة أرشيف ZIP يخفي حمولة خبيثة عن الماسح
| المورّد | DataDog |
|---|---|
| المنتج | GuardDog |
| صنف الضعف | CWE-436 |
| تاريخ الإبلاغ | 2026-06-24 |
| تاريخ الإفصاح | 2026-06-24 |
| الحالة | أصلحها المورّد |
حزمة wheel مصنوعة خصيصاً تضبط سجل نهاية الفهرس المركزي ليعلن صفر إدخالات. مكتبة zipfile في بايثون تقرأ الأرشيف فارغاً فيعلن الماسح صفر مؤشرات، بينما المُثبِّت يفكّ الحمولة الحقيقية من رؤوس الملفات المحلية. أُصلح بالمشي على رؤوس الملفات المحلية مباشرة ورفض أي أرشيف عدد رؤوسه أكبر مما تعدّه zipfile.
الأثر
حزمة خبيثة تمرّ من فحص سلسلة التوريد بتقرير نظيف، بينما تُثبَّت حمولتها فعلياً.
إفصاحات ذات صلة
متوسطة
Simple Shopping Cart < 5.3.3 – تجاوز الدفع بدون مصادقة بسبب عدم التحقق من مستلم إشعار PayPal IPN
متوسطة
Elementor < 4.3.5 – ثغرة XSS مخزنة لصلاحية Contributor فما فوق عبر تجاوز معقم SVG باستخدام CDATA
منخفضة
Code Snippets قبل الإصدار 3.10.0 – تفعيل وتعطيل وإعادة ترتيب الشيفرات على مستوى الشبكة من قبل مدير موقع فرعي
منخفضة
The Events Calendar 6.15.16.1 – 6.17.4.1 – استغلال مسارات REST من نوع by-slug لتعديل وحذف والاستيلاء على ملكية الأحداث والأماكن والمنظمين بواسطة Contributor+
عرض الكل