🛡️ Correctif pour la « vulnérabilité » CVE-2025-67887/86 dans le module Translate de 1C-Bitrix

Sécurité 1C-Bitrix Le Centre de sécurité de l'information et de surveillance des incidents de « 1C-Bitrix » informe

Des informations sont apparues sur des chaînes Telegram concernant une vulnérabilité dans le module « Traduction », qui permettrait prétendument de télécharger des archives sans contrôle de sécurité.

Nous avons rapidement effectué des vérifications et NE CONFIRMONS PAS la présence d'une vulnérabilité dans le produit. Le téléchargement de fichiers dans le module « Traductions » n'est disponible qu'aux administrateurs. Les droits requis mentionnés dans le message correspondent aux droits d'administrateur. L'administrateur est habilité à modifier et à exécuter tout code sur le projet.

Ainsi, il n'y a pas de vulnérabilité.
https://t.me/bitrixkiberbez/76

Le correctif implémente un sanitizer récursif de répertoires qui détecte et supprime toutes les variantes des fichiers .htaccess après l'extraction de l'archive.

🔧 Ce que fait le code

/**
 * Removes any variation of .htaccess files from the extracted directory.
 * Covers case sensitivity (.HTACCESS) and trailing dots/spaces.
 * By CyberOK | https://www.cyberok.ru/
 */
private function sanitizeDirectory(Translate\IO\Directory $dir): void
{
    foreach ($dir->getChildren() as $entry) {
        if ($entry instanceof Main\IO\Directory) {
            $this->sanitizeDirectory(new Translate\IO\Directory($entry->getPhysicalPath()));
        } else {
            if (preg_match('/^\.htaccess[.\s]*$/i', $entry->getName())) {
                $entry->delete();
            }
        }
    }
}

CVE-2025-67887

Populaires

📁 Chemin à remplacer