كل الثغرات
CWE-436 عالية CVSS 7.4

GuardDog — اختلاف في قراءة أرشيف ZIP يخفي حمولة خبيثة عن الماسح

المورّد DataDog
المنتج GuardDog
صنف الضعف CWE-436
تاريخ الإبلاغ 2026-06-24
تاريخ الإفصاح 2026-06-24
الحالة أصلحها المورّد
حزمة wheel مصنوعة خصيصاً تضبط سجل نهاية الفهرس المركزي ليعلن صفر إدخالات. مكتبة zipfile في بايثون تقرأ الأرشيف فارغاً فيعلن الماسح صفر مؤشرات، بينما المُثبِّت يفكّ الحمولة الحقيقية من رؤوس الملفات المحلية. أُصلح بالمشي على رؤوس الملفات المحلية مباشرة ورفض أي أرشيف عدد رؤوسه أكبر مما تعدّه zipfile.

الأثر

حزمة خبيثة تمرّ من فحص سلسلة التوريد بتقرير نظيف، بينما تُثبَّت حمولتها فعلياً.
المرجع

إفصاحات ذات صلة

منخفضة Code Snippets قبل الإصدار 3.10.0 – تفعيل وتعطيل وإعادة ترتيب الشيفرات على مستوى الشبكة من قبل مدير موقع فرعي CVE-2026-106095 منخفضة The Events Calendar 6.15.16.1 – 6.17.4.1 – استغلال مسارات REST من نوع by-slug لتعديل وحذف والاستيلاء على ملكية الأحداث والأماكن والمنظمين بواسطة Contributor+ CVE-2026-84743 متوسطة Kirki من 6.0.0 إلى 6.3.0 – ثغرة XSS مخزنة عبر رفع ملفات SVG غير معقمة (صلاحية Author فما فوق) CVE-2026-84223 متوسطة Kirki — كشف محتوى مقالات غير عامة دون مصادقة عبر المعامل kirki_data CVE-2026-84222
عرض الكل