CVE-2026-38361
ثغرات متعددة لحرمان الخدمة (DoS) غير المصادق عليها في fohrloop dash-uploader v0.1.0 حتى v0.7.0a2 يثق معالج التحميل المجزأ...
- تم النشر
- 08/05/2026
- محدث
- 10/06/2026
- تخصيص CNA
- mitre
- الأدلة المرصودة
- 28/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 84.9%
- تاريخ الموديل
- 21/09/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
# ثغرات متعددة لحرمان الخدمة (DoS) غير المصادق عليها في fohrloop dash-uploader v0.1.0 حتى v0.7.0a2 يثق معالج التحميل المجزأ (`dash_uploader/httprequesthandler.py`, `dash_uploader/upload.py`) في معاملات التحميل غير المنقّاة والتي يتحكم فيها المهاجم (مثل `flowTotalChunks`) ولا يفرض حد `max_file_size` الموثق، مما يسمح لمهاجم عن بُعد وغير مصادق عليه بالتسبب في تعطل العملية بسبب نفاد الذاكرة (OOM) (تخصيص غير محدود لـ `range(1, flowTotalChunks + 1)`)، واقتطاع الملف الهدف إلى صفر بايت (`flowTotalChunks=0`، حيث تقوم خاصية `all([]) == True` بتشغيل فرع دمج الملفات على صفر أجزاء)، واستنزاف القرص بشكل دائم (أدلة مؤقتة لا يتم تنظيفها أبدًا لكل `flowIdentifier`)، وتجاوز كامل لحد `max_file_size` الموثق.
المصادر
1- CVE-2026-38361إعلامية
نشرة: CVE-2026-38361 ثغرات متعددة من نوع حجب الخدمة (DoS) (CWE-400/CWE-670) في dash-uploader (Python/PyPI)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.