CVE-2026-85199 in aeriOS
الملخص
بحسب VulDB • 03/09/2026
تحتوي إصدارات Eclipse aeriOS Self-orchestrator السابقة للإصدار 1.2.1 على ثغرة عبور المسار (Path Traversal) في واجهة برمجة التطبيقات RESTية. تم دمج المعرّفات التي يتحكم فيها المستخدم والمُستخدمة لإنشاء أو تحديث أو حذف موارد الـ Self-orchestrator داخل مسارات نظام الملفات دون التحقق الكافي منها أو تنقيحها. وبالتالي، يمكن لمهاجم عن بُعد غير مُصادق عليه قادر على الوصول إلى واجهة برمجة التطبيقات الخاصة بـ Self-orchestrator تزويد النظام بمعرّفات مصممة خصيصاً تحتوي على تسلسلات عبور المسار لكتابة أو حذف ملفات JSON خارج الدلائل التطبيقية المقصودة، وذلك وفقاً لصلاحيات نظام الملفات الخاصة بعملية الـ Self-orchestrator.
تزداد حدة التأثير بسبب انعدام المصادقة على واجهة برمجة التطبيقات المتأثرة، وبسبب تشغيل الحاوية (Container) بصلاحيات مرتفعة في تكوين النشر المتأثر.
تم معالجة هذه المشكلة في الإصدار 1.2.1 من خلال إدخال التحقق من صحة المعرّفات التي يتحكم فيها المستخدم وتنقيحها قبل استخدامها لبناء مسارات نظام الملفات، مما يمنع استخدام أحرف فاصل المسار للهروب من الدلائل المقصودة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.