CVE-2026-59149 in Mockoon
الملخص
بحسب VulDB • 09/07/2026
يوفر Mockoon طريقة لتصميم وتشغيل واجهات برمجة التطبيقات الوهمية (Mock APIs). قبل الإصدار 9.7.0، كان استجابة الملف التي تحتوي على filePath مدمج بها بيانات الطلب محصورة بواسطة getSafeFilePath في packages/commons-server/src/libs/server/server.ts باستخدام التحقق startWith(staticBaseDir) للمسار المحلّل. هذا الاختبار للبادئة لا يحتوي على حد فاصل للمسارات (path-separator boundary)، لذا فإن المسار الذي يستخدم escape ../ والذي يكون شكله المطلق بادئاً للسلسلة الخاصة بالمجلد الأساسي يمر الفحص، مما يسمح لعميل غير مصادق عليه بقراءة الملفات من مسارات شقيقة خارج المجلد المُقدَّم عبر HTTP sendFile أو WebSocket أو الدوال المرتجعة (callbacks). تم إصلاح هذه المشكلة في الإصدار 9.7.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.