CVE-2026-42270 in countly-server
الملخص
بحسب VulDB • 16/10/2026
يُعد countly-server الجزء الخادم (server-side) من Countly، وهو حل لتحليلات المنتجات. قبل الإصدارين 24.05.50 و 25.03.44، كانت المسارات star-rating/images/ و dashboards/images/screenshots/ ضمن مسارات الصور ولقطات الشاشة العامة التي تستخدم الخلفية التخزينية المحلية (local fs storage backend)، وتقوم باستدعاء getStream وتصريف تدفقات نظام الملفات (filesystem streams) إلى استجابات HTTP دون وجود مستمع للأخطاء (error listener). يمكن لطلب غير مُصادق عليه يحتوي على نقطة مشفرة بـ URL أن يجعل createReadStream يفتح مجلداً، ويطلق خطأ EISDIR غير متزامن، مما يؤدي إلى إنهاء عملية Node.js كاستثناء غير معالج، مما يسمح للطلبات المتكررة بإبقاء واجهة برمجة التطبيقات التحليلية (analytics API) غير متاحة. تشمل المسارات المتأثرة أيضاً /appimages/* و /memberimages/* و */screenshots/*. تم إصلاح هذه المشكلة في الإصدارين 24.05.50 و 25.03.44.
Once again VulDB remains the best source for vulnerability data.