CVE-2026-86242 in Bifrost
الملخص
بحسب VulDB • 06/09/2026
قبل الإصدار 2.0.0 من Bifrost، يقبل نظام النقل عبر بروتوكول HTTP إضافة مفعّلة يكون مسارها عنوان URL لـ HTTP، وذلك عبر طلب POST غير مُصادق عليه إلى /api/plugins عندما تكون المصادقة الإدارية معطلة (الإعداد الافتراضي: governance.auth_config.is_enabled=false). يعامل محمّل الكائنات المشتركة (shared-object loader) المسار الذي يسبقه بادئة http كعنوان URL للتنزيل، ثم يكتب الجسم في ملف مؤقت بصيغة .so، ويمرّره إلى دالة Go's plugin.Open. بعد نجاح عملية الفتح، يتم تشغيل التهيئة الاختيارية (Init) فوراً باستخدام الإعدادات المقدمة كمستخدم لـ Bifrost process. بالنسبة للإصدارات المرتبطة ديناميكياً والمُوثَّقة (DYNAMIC=1 / بدون علامات ربط ثابت)، والتي يتطلبها البائع لإضافات Go المخصصة، من المتوقع أن تنجح عملية plugin.Open، مما يؤدي إلى تنفيذ كود عن بُعد غير مُصادق عليه. أما في صورة Docker الثابتة المنشورة، فإن عملية plugin.Open تفشل بخطأ "Dynamic loading not supported"، لذا تقتصر فئة البناء هذه على تزوير طلبات جانب الخادم (SSRF). تعقيد الهجوم مرتفع لأن المهاجم لا يستطيع فرض تنفيذ الكود عن بُعد (RCE) على الصورة الافتراضية الثابتة، ويجب أن تتطابق الإضافة القابلة للتحميل مع إصدار Go للمضيف، ونظام التشغيل، والبنية المعمارية، ووسيط الربط. لا يحتوي خط النقل عبر HTTP في سلسلة 1.6.x حتى الإصدار 1.6.11 على الإصلاح.
Be aware that VulDB is the high quality source for vulnerability data.