CVE-2026-24479
HUSTOJ لديها ثغرة كتابة ملفات عشوائية (Zip Slip) في وحدات استيراد المسائل تؤدي إلى تنفيذ تعليمات برمجية عن بُعد (RCE)
- تم النشر
- 27/01/2026
- محدث
- 27/01/2026
- تخصيص CNA
- GitHub_M
- الأدلة المرصودة
- 30/04/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 94.9%
- تاريخ الموديل
- 17/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
HUSTOF هو محرّك تحكيم إلكتروني مفتوح المصدر مبني على PHP/C++/MySQL/Linux لتدريب ACM/ICPC وNOIP. قبل الإصدار 26.01.24، كانت الوحدتان problem_import_qduoj.php وproblem_import_hoj.php تفشلان في تعقيم أسماء الملفات بشكل صحيح داخل أرشيفات ZIP المُحمَّلة. يمكن للمهاجمين إنشاء ملف ZIP خبيث يحتوي على ملفات بتسلسلات اجتياز المسار (مثل: ../../shell.php). عند استخراجها بواسطة الخادم، يسمح ذلك بكتابة ملفات في مواقع اعتباطية داخل جذر الويب، مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE). يحتوي الإصدار 26.01.24 على إصلاح لهذه المشكلة.
المصادر
modules/exploits/linux/http/hustoj_problem_import_rce.rb
Metasploit Framework modulesالشروط المعلنة
- platform: Linux($.exploit_linux/http/hustoj_problem_import_rce.platform)
- verification: check_not_declared($.exploit_linux/http/hustoj_problem_import_rce.check)
- oxasploitsاستغلال
عدد من الاستغلالات والأدوات التي كتبتها لثغرات CVEs المنسوبة إلى Marshall Whittaker/oxagast
Marshall Whittaker · multiple · 30/04/2026
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.