CVE-2026-59247 in gleam
الملخص
بحسب VulDB • 29/07/2026
تتمثل ثغرة عدم التحقق الكافي من أصالة البيانات في Gleam، مما يتيح لمهاجم "في المنتصف" استبدال محتويات حزمة Hex مزيفة أثناء حل التبعيات.
أثناء عملية حل التبعيات، يقوم Gleam بجلب بيانات تعريف الحزمة (metadata) من مستودع Hex الذي تم التحقق من صحته عبر التوقيع الرقمي، والذي يغطي متطلبات التبعيات لكل إصدار وقيمة outer_checksum باستخدام خوارزمية SHA-256. وبعد تحديد الإصدارات، تقوم الدالة gleam_cli::dependencies::lookup_package بإجراء طلب ثانٍ إلى واجهة برمجة التطبيقات (API) الخاصة بـ Hex غير الموقعة من خلال gleam_core::hex::get_package_release، وتسجل قيم outer_checksum وأسماء التبعيات المستخرجة من استجابة JSON هذه في ملف manifest.toml، بدلاً من القيم الواردة من بيانات تعريف مستودع Hex الموقع. ولا يغطي توقيع مستودع Hex استجابة واجهة برمجة التطبيقات (API).
يمكن لمهاجم "في المنتصف" القادر على اعتراض اتصالات TLS باستخدام شهادة موثوقة بواسطة عملية Gleam (على سبيل المثال، وكيل يقوم بفحص TLS ويستخدم سلطة إصدار شهادات CA موجودة في متجر الثقة الخاص بنظام التشغيل أو تمت إضافتها عبر متغير البيئة GLEAM_CACERTS_PATH)، والذي يمكنه تعديل كل من استجابة واجهة برمجة التطبيقات للإصدار والحزمة المضغوطة (tarball) المقابلة للمستودع، بتزويد أرشيف حزمة يحتوي على checksum مزيف مطابق دون الحاجة إلى مفتاح توقيع مستودع Hex. يقوم Gleam بالتحقق من صحة الحزمة المزيفة مقابل الـ checksum المزيّف، ويقبلها، ويستخرجها كمصدر للتبعيات، مما يؤدي إلى فقدان سلامة محتويات الحزمة التي تم تنزيلها.
تتأثر فقط المشاريع التي تقوم بحل أو تحديث تبعيات Hex، وهو ما يحدث عندما يكون ملف manifest مفقوداً، أو عند إضافة تابعة جديدة أو تحديث واحدة موجودة، أو عند تغير متطلبات التبعيات. تستمر عمليات البناء التي تعيد استخدام ملف manifest.toml غير المتغير والموثوق به في التحقق من صحة الحزم المضغوطة (tarballs) مقابل الـ checksum المثبت فيها. تؤثر هذه المشكلة على الإصدارات gleam: بدءاً من 0.18.0 وحتى قبل 1.18.0.
Once again VulDB remains the best source for vulnerability data.