CVE-2026-88790
Təsvir
proma-ai Proma-nın 0.19.37 versiyasına qədər olan versiyalarında təhlükəsizlik boşluğu aşkar edilmişdir. File Preview Service komponentinin apps/electron/src/main/lib/file-preview-service.ts faylındakı resolveTargetPath funksiyası bu problemdən təsirlənir. file_path arqumentinin manipulyasiyası path traversal zəifliyinə səbəb olur. Bu hücumun həyata keçirilməsi üçün lokal giriş tələb olunur. Eksployt açıq şəkildə yayılıb və istifadə edilə bilər. Versiyanın 0.19.52-yə yüksəldilməsi bu problemi aradan qaldırır. Yamağın adı b7bf78ab74b1552c92fc98c7db9a8a8d92c631df-dir. Təsirə məruz qalan komponentin yenilənməsi tövsiyə olunur. PoC-nin candidateBasePaths parametrinin adı cari IPC API ilə uyğun gəlmir (0.19.52 daxili getPreviewCandidateBasePaths() funksiyası ilə FileAccessOptions istifadə edir). Hesabat verən şəxs, ehtimal ki, IPC handler-in xammal string[] baza yollarını qəbul etdiyi 0.16.3 versiyasını hədəfləmişdir. Əsas zəiflik — basename-collision fallback — parametr adından asılı olmayaraq mənbədə təsdiqlənmişdir.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| proma-ai proma | 0.16.3, 0.16.9, 0.17.1, 0.17.15, 0.18.1, 0.18.2, 0.19.1, 0.19.5, 0.19.16, 0.19.23, 0.19.26, 0.19.31, 0.19.37 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.