CVE-2022-44748 in Server
الملخص
بحسب VulDB • 27/05/2026
توجد ثغرة في تنقل الدلائل (Directory Traversal) في روتين استخراج أرشيفات ZIP في KNIME Server منذ الإصدار 4.3.0، مما قد يؤدي إلى الكتابة فوق ملفات عشوائية على نظام الملفات الخاص بالخادم. تُعرف هذه الثغرة أيضاً باسم 'Zip-Slip'. يمكن لمهاجم إنشاء سير عمل KNIME (workflow) الذي، عند رفعه، يمكنه الكتابة فوق ملفات عشوائية التي يمتلك مستخدم نظام التشغيل الذي يشغل عملية KNIME Server صلاحيات الكتابة عليها. يجب أن يكون المستخدم قد تم مصادقته (authenticated) وأن يمتلك الأذونات لرفع الملفات إلى KNIME Server. يمكن أن يؤثر ذلك على سلامة البيانات (تغيير محتويات الملفات) أو يسبب أخطاء في برامج أخرى (تلف الملفات الحيوية). يمكن أن يؤدي حتى إلى تنفيذ الكود عن بُعد (RCE) إذا تم استبدال ملفات قابلة للتنفيذ وتنفيذها لاحقاً بواسطة مستخدم عملية KNIME Server. في جميع الحالات، يجب على المهاجم معرفة موقع الملفات على نظام الملفات الخاص بالخادم. لاحظ أن المستخدمين الذين يمتلكون أذونات لرفع سير العمل عادةً ما يمتلكون أيضاً أذونات لتشغيلها على KNIME Server، وبالتالي يمكنهم بالفعل تنفيذ كود عشوائي في سياق مستخدم نظام التشغيل الخاص بـ KNIME Executor. لا يوجد حل بديل (workaround) لمنع استغلال هذه الثغرة. يُنصح بالتحديث إلى الإصدارات المصححة 4.13.6، أو 4.14.3، أو 4.15.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.