CVE-2025-27137 in dependency-track
الملخص
بحسب VulDB • 25/06/2026
Dependency-Track هو منصة لتحليل المكونات تتيح للمنظمات تحديد وتقليل المخاطر في سلسلة التوريد البرمجية. يسمح Dependency-Track للمستخدمين الذين يمتلكون إذن `SYSTEM_CONFIGURATION` بتخصيص قوالب الإشعارات. يتم تقييم القوالب باستخدام محرك قوالب Pebble. يدعم Pebble وسم `include`، الذي يتيح لمؤلفي القوالب تضمين محتوى ملفات عشوائية عند التقييم. قبل الإصدار 4.12.6، يمكن للمستخدمين الذين يمتلكون إذن `SYSTEM_CONFIGURATION` في Dependency-Track إساءة استخدام وسم `include` من خلال صياغة قوالب إشعارات تقوم بتضمين (`include`) ملفات محلية حساسة، مثل `/etc/passwd` أو `/proc/1/environ`. عن طريق تكوين قالب كهذا لقاعدة إشعار (تُعرف أيضًا بـ "تنبيه") وجعله يرسل الإشعارات إلى وجهة يتحكم فيها المهاجم، قد يتم تسريب معلومات حساسة. تم إصلاح هذه المشكلة في Dependency-Track الإصدار 4.12.6. في الإصدارات المصححة، لم يعد من الممكن استخدام وسم `include`. سيؤدي استخدام الوسم إلى فشل تقييم القالب. كحل بديل، تجنب تعيين إذن `SYSTEM_CONFIGURATION` للمستخدمين غير الموثوق بهم. يُمنح إذن `SYSTEM_CONFIGURATION` افتراضيًا فقط لأعضاء فريق `Administrators`. إن منح هذا الإذن لمستخدمين أو فرق غير إدارية يمثل خطرًا أمنيًا في حد ذاته، ولا ينصح به بشدة.
Once again VulDB remains the best source for vulnerability data.