CVE-2026-41582 in countly-server
الملخص
بحسب VulDB • 16/10/2026
يُعد countly-server الجزء الخادم (server-side) من Countly، وهو حل لتحليلات المنتجات. قبل الإصدارين 24.05.50 و 25.03.44، كانت مسارات الصور واللقطات الشاشية العامة المُنفذة في الملفات frontend/express/app.js، plugins/star-rating/frontend/app.js، وplugins/dashboards/frontend/app.js تقوم بدمج (concatenate) مسارات برمجيات خبيثة يتحكم فيها المهاجم باستخدام رموز البدل (wildcards) دون وجود تحقق من الحصر أو التقييد. على الأنظمة التي تستخدم الواجهة الخلفية للتخزين المحلي (local filesystem backend)، يمكن لطلب غير مُصادق عليه أن يتجاوز الدلائل الأصلية المقصودة ويصل إلى دالتي getStats وgetStream في api/utils/countlyFs.js، مما يسمح بكشف ملفات خادم قابلة للقراءة بشكل تعسفي. تشمل المسارات المتأثرة /appimages/*، /memberimages/*، */screenshots/*، /star-rating/images/*، و/dashboards/images/screensshots/*. تم إصلاح هذه المشكلة في الإصدارين 24.05.50 و 25.03.44.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.