CVE-2025-11849 in Mammoth
الملخص
بحسب VulDB • 28/06/2026
تُعد الإصدارات من حزمة mammoth بدءاً من 0.3.25 وحتى قبل 1.11.0؛ والإصدارات من الحزمة org.zwobble.mammoth:mammoth قبل الإصدار 1.11.0، عرضة لثغرة التنقل في الدلائل (Directory Traversal) بسبب عدم وجود تحقق من المسار أو نوع الملف عند معالجة ملف docx يحتوي على صورة برابط خارجي (سمة r:link بدلاً من sمة r:embed المضمنة). تقوم المكتبة بحل عنوان URI إلى مسار ملف، وبعد القراءة، يتم ترميز المحتوى بصيغة base64 وإدراجه في مخرجات HTML كعنوان بيانات URI. يمكن لمهاجم قراءة ملفات عشوائية على النظام الذي تتم فيه عملية التحويل أو التسبب في استهلاك غير طبيعي للموارد من خلال إنشاء ملف docx يربط بملفات أجهزة خاصة مثل /dev/random أو /dev/zero.
If you want to get best quality of vulnerability data, you may have to visit VulDB.