CVE-2025-59342
esm.sh يكتب ملفات عشوائية عبر اجتياز المسار في ترويسة X-Zone-Id
- تم النشر
- 17/09/2025
- محدث
- 14/01/2026
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 16/12/2025
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 87.2%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
esm.sh هي شبكة توصيل محتوى (CDN) بدون بناء (nobuild) لتطوير الويب الحديث. في الإصدار 136 والإصدارات الأقدم، تسمح ثغرة اجتياز المسار في معالجة ترويسة HTTP المسماة X-Zone-Id للمهاجم بجعل التطبيق يكتب ملفات خارج موقع التخزين المقصود. تُستخدم قيمة الترويسة لبناء مسار في نظام الملفات ولكنها لا تخضع للتوحيد (canonicalization) بشكل صحيح ولا تُقيَّد بالدليل الأساسي لتخزين التطبيق. ونتيجةً لذلك، فإن توفير تسلسلات ../ في X-Zone-Id يتسبب في كتابة ملفات في أدلة عشوائية. يحتوي الإصدار 136.1 على تصحيح لهذه الثغرة.
المصادر
http/cves/2025/CVE-2025-59342.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)
- esm-dev 136 - Path Traversalاستغلال
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.