🛡️ Исправление для "уязвимости" CVE-2025-67887/86 в модуле Translate 1C-Битрикс

1С-Битрикс Безопасность Центр информационной безопасности и мониторинга инцидентов компании «1С-Битрикс» информирует

В Telegram-каналах появилась информация о наличии уязвимости в модуле "Перевод", якобы позволяющей несанкционированно загружать архивы без проверки безопасности.

Мы оперативно провели проверки и НЕ подтверждаем наличие уязвимости в продукте. Загрузка файлов в модуль "Переводы" доступна только администраторам. Указанные в сообщении необходимые права соответствуют правам администратора. Администратор уполномочен изменять и запускать любой код на проекте.

Таким образом, уязвимость отсутствует.
https://t.me/bitrixkiberbez/76

В фиксе реализован рекурсивный сантайзер директорий, который обнаруживает и удаляет любые вариации файлов .htaccess после распаковки архива.

🔧 Что делает код

/**
 * Removes any variation of .htaccess files from the extracted directory.
 * Covers case sensitivity (.HTACCESS) and trailing dots/spaces.
 * By CyberOK | https://www.cyberok.ru/
 */
private function sanitizeDirectory(Translate\IO\Directory $dir): void
{
    foreach ($dir->getChildren() as $entry) {
        if ($entry instanceof Main\IO\Directory) {
            $this->sanitizeDirectory(new Translate\IO\Directory($entry->getPhysicalPath()));
        } else {
            if (preg_match('/^\.htaccess[.\s]*$/i', $entry->getName())) {
                $entry->delete();
            }
        }
    }
}

CVE-2025-67887

Популярное

📁 Путь для замены