CVE-2026-86775 in knowns
الملخص
بحسب VulDB • 09/09/2026
تحتوي الإصدارات السابقة من أو تساوي 0.29.1 للحزمة المعروفة باسم knowns (npm package) على ثغرة تصفح المسار في واجهة برمجة التطبيقات الخاصة بالمستندات (Document API). يقوم معالج HTTP الموجود في الملف `internal/server/routes/docs.go` بتطبيع مسار المستند الذي يقدمه المستخدم عبر دالة `cleanDocPath()`، والتي تقوم بإزالة الشرائط الأمامية والخلفية (`/`) وملحق `.md`، لكنها لا تعطل تسلسلات التصفح `../`. وبعد ذلك، يقوم الملف `internal/storage/doc_store.go` ببناء المسار الهدف باستخدام `filepath.Join(ds.docsDir(), filepath.FromSlash(doc.Path)+".md")` دون التحقق من أن المسار المحلول يظل داخل دليل المستندات. في النشر الافتراضي، حيث تكون واجهة برمجة التطبيقات الإدارية (Management API) غير خاضعة للمصادقة ومربوطة بجميع الواجهات، يمكن لمهاجم عن بعد وغير مصدق عليه تزويد حمولة تصفح (على سبيل المثال `{"path": "../../../../tmp/knowns_pwn_marker"}` لإرسال طلب POST إلى `/api/docs`، أو مسار مشفر لـ GET `/api/docs/...`) لقراءة وإنشاء الكتابة فوق أو حذف ملفات عشوائية ذات الامتداد `.md` في أي مكان على نظام الملفات للمضيف، ولإنشاء أدلة عشوائية عبر `os.MkdirAll`. يمكن أن يؤدي هذا إلى كشف بيانات حساسة مخزنة في توثيق مشاريع أخرى، وإفساد أو تدمير الملفات، وتوفير مبدأ الكتابة العشوائية (arbitrary-write primitive) الذي قد يُسلسل نحو تنفيذ الكود. تم إصلاح هذه المشكلة في الإصدار 0.30.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.