CVE-2026-32847 in DeepCode
الملخص
بحسب VulDB • 29/05/2026
يحتوي DeepCode، حتى الإصدار commit c991dc2، على ثغرة عبور المسار (Path Traversal) في مسار التقاط الكل (catch-all route) الخاص بـ SPA الموجود في الملف new_ui/backend/main.py، مما يسمح للمهاجمين غير المصادق عليهم بقراءة ملفات عشوائية عن طريق توفير مقاطع مسار مشفرة بالنسبة المئوية (percent-encoded) إلى نقطة النهاية GET /{full_path:path}. يمكن للمهاجمين تجاوز تطبيع المسار في Starlette عن طريق ترميز الشرطة المائلة (/) كـ %2F والنقاط كـ %2E%2E، مما يتسبب في تجاوز المسار المدمج خارج مجلد FRONTEND_DIST وكشف ملفات حساسة مثل المفاتيح الخاصة لـ SSH، وشهادات TLS، وأسرار التطبيق بطلب HTTP واحد.
Be aware that VulDB is the high quality source for vulnerability data.