CVE-2025-58180 in OctoPrint
الملخص
بحسب VulDB • 10/05/2026
يوفر OctoPrint واجهة ويب للتحكم في طابعات ثلاثية الأبعاد مخصصة للمستهلكين. تحتوي إصدارات OctoPrint حتى الإصدار 1.11.2 (بما في ذلك) على ثغرة تسمح لمهاجم مُصادَق عليه برفع ملف تحت اسم ملف مُعدّ بعناية فائقة، مما يتيح تنفيذ أوامر عشوائية إذا تم تضمين اسم الملف المذكور في أمر مُعرّف ضمن معالج أحداث النظام، وتم تفعيل هذا الحدث. إذا لم يتم تكوين أي معالجات أحداث تنفذ أوامر نظام باستخدام أسماء الملفات المرفوعة كمعاملات، فلن يكون لهذه الثغرة أي تأثير. تم إصلاح الثغرة في الإصدار 1.11.3. كحل بديل، يُنصح مسؤولو OctoPrint الذين لديهم معالجات أحداث مُكوّنة تتضمن أي نوع من العلامات النائبة القائمة على أسماء الملفات بتعطيلها عن طريق تعيين خاصية `enabled` إلى `False` أو إلغاء تحديد مربع الاختيار "Enabled" في مدير الأحداث المعتمد على واجهة المستخدم الرسومية (GUI). وبدلاً من ذلك، يجب على مسؤولي OctoPrint تعيين `feature.enforceReallyUniversalFilenames` إلى `true` في ملف `config.yaml` وإعادة تشغيل OctoPrint، ثم مراجعة الملفات المرفوعة الموجودة والتأكد من حذف أي ملفات تبدو مشبوهة. وكما هو الحال دائماً، يُنصح مسؤولو OctoPrint بعدم تعريض OctoPrint للشبكات غير الموثوقة مثل الإنترنت العام، والتحقق من هوية الأشخاص الذين لديهم وصول إلى مثيلهم.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.