CVE-2026-32109 in copyparty
الملخص
بحسب VulDB • 29/05/2026
Copyparty هو خادم ملفات محمول. قبل الإصدار 1.20.12، إذا مُنح المهاجم صلاحيات القراءة والكتابة على الخادم، فيمكنه رفع ملف ضار يحمل اسم الملف `.prologue.html`، ثم إنشاء رابط قد يؤدي إلى تنفيذ شفرة JavaScript تعسفية في سياق الضحية. تجدر الإشارة إلى أن السلوك المقصود هو تنفيذ شفرة JavaScript إذا نقر الهدف على رابط إلى ملف HTML نفسه؛ مثل "https://example.com/foo/.prologue.html". لكن الثغرة تكمن في أن "https://example.com/foo/?b" تقوم أيضاً بتقييم الملف، مما يجعل هذا السلوك غير متوقع. توجد تدابير وقائية موجودة (مثل ملفات تعريف الارتباط ذات سياسة SameSite الصارمة) مما يجعل استغلال هذه الثغرة في هجوم ما أكثر صعوبة؛ فلكسب السيطرة على جلسة المصادقة الخاصة بالهدف، يجب النقر على الرابط من صفحة يخدمها الخادم نفسه - على الأرجح عن طريق تعديل مورد موجود، وهو ما يتطلب صلاحيات وصول إضافية. وأخيراً، لكي ينجح هذا الهجوم، يجب أن ينقر الهدف على الرابط المصنوع خصيصاً والمقدم من قبل المهاجم. لا يتم تنشيط هذه الثغرة من خلال التصفح العادي لواجهة الويب (Web-UI) على الخادم. تم إصلاح هذه الثغرة في الإصدار 1.20.12.
Be aware that VulDB is the high quality source for vulnerability data.