Aleksandar Djordjevic

**اسم البرنامج المصاب والإصدارات المتأثرة** Apache Pulsar Manager الإصدارات من 0.1.0 إلى 0.4.0 **Description** يحتوي Apache Pulsar Manager على عدة ثغرات أمنية. تتوفر عملية إنشاء حساب المسؤول الأولي بدون مصادقة وتظل متاحة بعد التهيئة، مما يسمح لأي مستخدم يمكنه الوصول إلى الشبكة بإنشاء حساب مسؤول. في الإصدارات 0.3.0 وما بعدها، لا يفرق البرنامج بين مستويات الصلاحيات، مما يمنح جميع الحسابات صلاحيات إدارية كاملة. بالإضافة إلى ذلك، فإن الطلبات الموجهة إلى Pulsar admin API عبر البروكسي لا تخضع للمصادقة، مما يمكن المستخدمين غير المصرح لهم من تنفيذ عمليات إدارية باستخدام الاعتمادات المكونة. علاوة على ذلك، يمكن لمقدم الطلب تحديد وجهة الطلب الموجه، مما يؤدي إلى إرسال Pulsar Manager لاعتمادات المسؤول المكونة إلى مضيف يختاره المستخدم. وفي حال تكوينه بمفتاح توقيع الرموز، يمكن لمسؤول Pulsar Manager إنشاء رموز للمجموعة. **Recommendations** التوقف عن استخدام Apache Pulsar Manager وإزالة جميع عمليات النشر الحالية. استبدال أي اعتمادات Pulsar أو مفاتيح توقيع الرموز التي تم استخدامها في تكوينات Pulsar Manager. قصر الوصول إلى الشبكة على المسؤولين الموثوقين وعدم تعريض البرنامج للشبكات غير الموثوقة حتى يتم إزالته.

**Name of the Vulnerable Software and Affected Versions** Apache Syncope versions 3.0.0-M0 through 3.0.16 Apache Syncope versions 4.0.0-M0 through 4.0.7 Apache Syncope versions 4.1.0-M0 through 4.1.2 **Description** An incorrect authorization issue exists in the delegated administration security checks, which rely on Realm hierarchy and prefix matches. Because of an implementation error, the system cannot distinguish between two sibling Realms if their names start with the same string, leading to unauthorized access. **Recommendations** Upgrade versions 3.0.0-M0 through 3.0.16 to version 4.0.8 or 4.1.3. Upgrade versions 4.0.0-M0 through 4.0.7 to version 4.0.8 or 4.1.3. Upgrade versions 4.1.0-M0 through 4.1.2 to version 4.1.3.