CVE-2025-63914

सारांश

Cinnamon kotaemon 0.11.0 में एक समस्या पाई गई। \libs\ktem\ktem\index\file\ui.py फ़ाइल में _may_extract_zip फ़ंक्शन अपलोड की गई ZIP फ़ाइलों की सामग्री की जाँच नहीं करता है। हालाँकि सामग्री को एक अस्थायी फ़ोल्डर में निकाला जाता है जिसे प्रत्येक निष्कर्षण से पहले साफ़ कर दिया जाता है, फिर भी ZIP bomb को सफलतापूर्वक अपलोड करने से सर्वर डीकंप्रेसन के दौरान अत्यधिक संसाधनों की खपत कर सकता है। इसके अलावा, यदि बाद में कोई और फ़ाइल अपलोड नहीं की जाती है, तो निकाला गया डेटा डिस्क स्थान घेर सकता है और संभावित रूप से सिस्टम को अनुपलब्ध बना सकता है। फ़ाइलें अपलोड करने की अनुमति रखने वाला कोई भी व्यक्ति इस हमले को अंजाम दे सकता है।

• CVE-2025-63914PoC

  सार्वजनिक खुलासा और पैच CVE-2025-63914: Cinnamon/kotaemon में ज़िप बम भेद्यता।