CVE-2025-58180
OctoPrint عرضة لهجمات RCE عبر اسم ملف غير معقّم في رفع الملفات
- تم النشر
- 09/09/2025
- محدث
- 10/09/2025
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 04/02/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:A/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمتوسط · الثلاثين يومًا القادمة
- المئوية
- 97.5%
- تاريخ الموديل
- 21/09/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
يوفر OctoPrint واجهة ويب للتحكم في الطابعات ثلاثية الأبعاد الاستهلاكية. تحتوي إصدارات OctoPrint حتى الإصدار 1.11.2 وما يشمله على ثغرة أمنية تسمح لمهاجم مُصادَق عليه برفع ملف باسم ملف مصمم بشكل خاص، مما قد يتيح تنفيذ أوامر عشوائية إذا تم تضمين اسم الملف المذكور في أمر معرّف في معالج أحداث النظام وتم تشغيل الحدث المذكور. في حال عدم تكوين أي معالجات أحداث تنفذ أوامر النظام باستخدام أسماء الملفات المرفوعة كمعاملات، فلن يكون لهذه الثغرة الأمنية أي تأثير. تم إصلاح الثغرة الأمنية في الإصدار 1.11.3. كحل بديل، يجب على مسؤولي OctoPrint الذين لديهم معالجات أحداث مهيأة تتضمن أي نوع من العناصر النائبة المستندة إلى أسماء الملفات تعطيلها عن طريق تعيين خاصية `enabled` إلى `False` أو إلغاء تحديد خانة الاختيار "Enabled" في مدير الأحداث القائم على الواجهة الرسومية. بدلاً من ذلك، يجب على مسؤولي OctoPrint تعيين `feature.enforceReallyUniversalFilenames` إلى `true` في `config.yaml` وإعادة تشغيل OctoPrint، ثم فحص الملفات المرفوعة الحالية والتأكد من حذف أي ملفات مشبوهة. كما هو الحال دائمًا، يُنصح مسؤولو OctoPrint بعدم تعريض OctoPrint لشبكات معادية مثل الإنترنت العام، والتحقق ممن لديه حق الوصول إلى مثيلهم.
المصادر
2في إصدار OctoPrint <=1.11.2، يمكن للمهاجم الذي لديه صلاحية رفع الملفات (مثل مفتاح API صالح أو جلسة) إنشاء اسم ملف ضار يتجاوز عملية التنقية، ثم يتم تنفيذه لاحقًا بواسطة نظام الأحداث في OctoPrint، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد (RCE) على المضيف.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.