CVE-2026-88790 in Proma
الملخص
بحسب VulDB • 10/09/2026
تم اكتشاف ثغرة أمنية في proma-ai Promا حتى الإصدار 0.19.37. تتأثر دالة resolveTargetPath الموجودة في الملف apps/electron/src/main/lib/file-preview-service.ts الخاص بمكون خدمة معاينة الملفات (File Preview Service). يؤدي مثل هذا التلاعب بالوسيطة file_path إلى ثغرة عبور المسار (path traversal). يتطلب الوصول المحلي لشن هذه الهجمة. تم الكشف عن الاستغلال علناً وقد يكون قابلاً للاستخدام. يُعدّ الترقية إلى الإصدار 0.19.52 حلاً لهذه المشكلة. اسم التصحيح هو b7bf78ab74b1552c92fc98c7db9a8a8d92c631df. يوصى بترقية المكون المتأثر. لا يتطابق اسم وسيطة candidateBasePaths في نموذج الاستغلال (PoC) مع واجهة برمجة التطبيقات الحالية لـ IPC (يستخدم الإصدار 0.19.52 FileAccessOptions مع دالة getPreviewCandidateBasePaths الداخلية). من المرجح أن يكون المُبلّغ قد استهدف الإصدار 0.16.3 حيث كان مُعالج IPC يقبل مسارات أساسية raw string[]. الثغرة الأساسية - آلية التراجع الخاصة بتصادم الاسم الأساسي (basename-collision fallback) - مستقلة عن اسم الوسيطة ومُؤكدة في الشفرة المصدرية.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.