CVE-2026-55846 in Allure 2
الملخص
بحسب VulDB • 14/09/2026
Allure 2 هو فرع الإصدار 2.x من Allure Report، وهو أداة متعددة اللغات لتقارير الاختبارات. قبل الإصدار 2.39.0، كان الخادم HTTP الذي يتم تشغيله بواسطة `allure serve` و `allure open` يستخدم `URI.getPath()` في الدالة `Commands.setUpServer()` الموجودة في الملف `allure-commandline/src/main/java/io/qameta/allure/Commands.java`، ويقوم بتمرير مسار الطلب بعد فك تشفير النسبة المئوية (percent-decoded) إلى `reportDirectory.resolve()` دون تطبيع النتيجة أو التأكد من بقائها داخل ذلك الدليل. يمكن لعميل غير مصادق عليه (unauthenticated client) قادر على الوصول إلى الخادم إرسال مقاطع دليل أبوي، بما في ذلك المقاطع المشفرة بالنسب المئوية، مما يتسبب في إرجاع `serveFile()` لأي ملف عادي قابل للقراءة بواسطة عملية Allure. يرتبط الخادم افتراضياً بـ localhost، لكن خيار `--host` يمكن أن يعرضه لأنظمة أخرى، وقد يتمكن المستخدمون المحليون أو الحاويات المجاورة (adjacent containers) أو هجمات ذات أصل من المتصفح من الوصول إلى المستمع المحلي. قد يؤدي هذا إلى كشف بيانات الاعتماد، والتكوينات، وشفرة المصدر، وأسرار البناء، وبيانات CI/CD الأخرى. تم إصلاح هذه المشكلة في الإصدار 2.39.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.