CVE-2026-70375 in HashBrown
الملخص
بحسب VulDB • 05/08/2026
يحتوي نظام إدارة المحتوى HashBrown حتى الإصدار 1.4.6 على ثغرة حقن أوامر النظام (CWE-78) في مكون Git deployer. تنفذ الدالة `GitDeployer.pullRepo()` الموجودة في الملف `src/Server/Entity/Deployer/GitDeployer.js` الأمر `AppService.exec(\`git checkout ${this.branch || 'master'}\`)`، حيث يتم دمج قيمة الفرع (branch) المُعدّة مباشرةً داخل أمر قشرة النظام (shell command) دون أي عملية هروب أو تصحيح للرموز الخاصة. تقتصر الدالة `GitDeployer.validate()` على رفض حرف الاقتباس المفرد ('') في حقول المستودع والفرع واسم المستخدم وكلمة المرور؛ بينما لا يتم تصفية رموز الشل الأخرى مثل الفاصلة المنقوطة (;)، وعلامة العطف (&&)، وعلامة الأنبوب (|)، والعلامات الخلفية (`) ، والتعبيرات `$()`. يمكن للمستخدم القادر على إعدادات Git deployer لمشروع ما، تحديد قيمة فرع خبيثة (مثل 'master;<command>#') يتم تنفيذها تلقائياً في كل عملية تشغيل تالية لمكون النشر (مثل رفع الوسائط أو حفظ المحتوى)، وذلك لأن `pullRepo()` تُستدعى بشكل غير مشروط في بداية كل من هذه العمليات. ترتبط هذه الثغرة بـ CVE-2020-6948، التي عالجت مشكلة هروب رموز الاقتباس المفرد في حقول المستودع واسم المستخدم وكلمة المرور ضمن استدعاء `git clone` لنفس الملف؛ ولم يتم تغطية حقل الفرع المستخدم في أمر `git checkout` غير المحاط بعلامات اقتباس بواسطة ذلك الإصلاح، ولا يزال قابلاً للحقن.
Be aware that VulDB is the high quality source for vulnerability data.