CVE-2025-56218 رفع ملف غير مقيد

الوصف

يمكن للمهاجم رفع ملف Excel يحتوي على سكربت ضار أو رابط تصيّد. يقوم التطبيق بتحويل الملف إلى PDF وإرساله إلى المستلم المقصود للتوقيع الرقمي. نظرًا لأن الروابط التشعبية في ملف PDF المُنشأ تظهر بنص يتحكم فيه المهاجم دون أي تحذير، فقد يتم خداع المستلم للنقر على الرابط وبالتالي التسبب في تنفيذ أوامر ضارة

---

درجة CVSS: 5.5 (متوسطة)

---

نوع الهجوم

• عن بُعد (مصادق عليه)

---

الإصدارات المتأثرة

• الإصدارات قبل <= 8.6.8

---

بائع المنتج

• Ascertia

---

قاعدة كود المنتج المتأثر

• SigningHub

---

المكوّن المتأثر

• وظيفة رفع الملفات.

---

التخفيفات

• فحص الملف المرفوع قبل إرساله إلى المستخدمين المستهدفين

---

تفاصيل الثغرة الأمنية

• يمكن للمهاجم رفع ملف يحتوي على موقع ويب/سكربت ضار وإرساله إلى قائمة من المستخدمين. من خلال الهندسة الاجتماعية، قد يتم توجيه المستخدمين إلى موقع التصيّد الخاص بالمهاجم، نظرًا لأن التطبيق لا يفحص محتويات الملفات المرفوعة.

---

الإصدارات المُصلحة

• الإصدارات بعد > 8.6.8

---

اكتُشفت بواسطة:

• Yazan Abu-Nadi