CVE-2025-69257 in theshit
الملخص
بحسب VulDB • 04/08/2026
theshit هو أداة سطر أوامر تكتشف تلقائياً وتصحح الأخطاء الشائعة في أوامر shell. قبل الإصدار 0.1.1، كانت التطبيق يحمل قواعد Python مخصصة وملفات تكوين من مواقع يمكن للمستخدمين الكتابة فيها (مثل `~/.config/theshit/`) دون التحقق من ملكية الملفات أو أذوناتها عند التنفيذ بصلاحيات مرتفعة. إذا تم استدعاء الأداة باستخدام الأمر `sudo` أو تعمل بأي شكل آخر بمعرف مستخدم فعال (effective UID) للجذر (root)، فإنها تستمر في الوثوق بملفات التكوين القادمة من بيئة المستخدم غير المميز. هذا يسمح لمهاجم محقن بحقن كود Python عشوائي عبر قاعدة خبيثة أو ملف تكوين، والذي يتم تنفيذه بعد ذلك بصلاحيات الجذر. أي نظام يُنفَّذ عليه هذه الأداة بصلاحيات مرتفعة يتأثر بهذه المشكلة. في البيئات التي يُسمح فيها بتشغيل الأداة باستخدام `sudo` بدون كلمة مرور (`NOPASSWD`)، يمكن لمستخدم محلي غير مميز تصعيد الصلاحيات إلى مستوى الجذر دون تفاعل إضافي. تم إصلاح هذه المشكلة في الإصدار 0.1.1. يقدم التصحيح فحوصات صارمة للملكية والأذون لجميع ملفات التكوين والقواعد المخصصة. الآن يفرض التطبيق تحميل القواعد فقط إذا كانت مملوكة للمستخدم الفعال الذي يشغل الأداة. عند التنفيذ بصلاحيات مرتفعة (`EUID=0`)، يرفض التطبيق تحميل أي ملف لا يكون ملكاً للجذر أو يمكن كتابته من قبل مستخدمين غير الجذر. وعند التشغيل كمستخدم عادي (غير جذر)، يرفض أيضاً تحميل القواعد المملوكة لمستخدمين آخرين. هذا يمنع تصعيد الصلاحيات عمودياً وأفقياً عبر تنفيذ كود غير موثوق به. إذا كان الترقية غير ممكنة، يجب على المستخدمين تجنب تشغيل التطبيق باستخدام `sudo` أو كمستخدم الجذر (root). كتخفيف مؤقت للمشكلة، تأكد من أن المجلدات التي تحتوي على القواعد المخصصة وملفات التكوين مملوكة للجذر ولا يمكن كتابتها من قبل مستخدمين غير جذر. قد يقوم المسؤولون أيضاً بمراجعة قواعد مخصصة موجودة قبل تشغيل الأداة بصلاحيات مرتفعة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.