CVE-2026-39983 in basic-ftp
الملخص
بحسب VulDB • 04/06/2026
basic-ftp هو عميل بروتوكول نقل الملفات (FTP) لنظام Node.js. قبل الإصدار 5.2.1، يسمح basic-ftp بحقن أوامر FTP عبر تسلسلات CRLF (\r\n) في معاملات مسارات الملفات الممررة إلى واجهات برمجة التطبيقات عالية المستوى للمسار مثل cd() و remove() و rename() و uploadFrom() و downloadTo() و list() و removeDir(). تقوم الدالة المساعدة protectWhitespace() الخاصة بالمكتبة بالتعامل فقط مع المسافات البيضاء الرائدة (leading spaces) وتعيد باقي المسارات دون تغيير، بينما تكتب دالة FtpContext.send() سلسلة الأمر الناتجة مباشرةً إلى المقبض التحكمي (control socket) بإضافة \r\n في النهاية. يتيح ذلك للمتسلل تقسيم أمر FTP واحد مقصود إلى عدة أوامر عبر سلاسل مسارات يتحكم فيها المهاجم. تم إصلاح هذا الثغرة الأمنية في الإصدار 5.2.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.