Hhh0710

يوجد خلل في التصريح ضمن الدالة `checkPermissionsForCreateOrUpdate()` في فئة `Multitenancy`. في عمليات النشر متعددة المستأجرين المرخصة حيث تتشارك تطبيقات متعددة نطاق URI اتصال غير افتراضي وتستخدم `api keys` منفصلة، يمكن للمهاجم الذي يمتلك مفتاح API صالح لأحد التطبيقات تحديث نطاق URI اتصال الأب. يحدث هذا لأن النظام لا يشترط أن يكون التطبيق والمستأجر المصدر عامين عند التحقق من النطاق أثناء عمليات الإنشاء أو التحديث. نتيجة لذلك، يمكن للمهاجم استبدال المفتاح الأب ومفاتيح التطبيقات الشقيقة، وتعديل المستخدمين الشركاء، واختطاف الجلسات، وتثبيت الوصول عبر مستخدمي لوحة تحكم شقيقة. بالإضافة إلى ذلك، فإن حذف المعرف الاختياري في معالجات الإنشاء أو التحديث من الإصدار v2 يسمح للمهاجم باستهداف المستأجر الأساسي، وتجاوز فروع التصاريح وبوابات الميزات المؤسسية لتعديل `firstFactors` والعوامل الثانوية المطلوبة وأعلام الوصفات المفعلة، مما يؤثر على سلامة تسجيل الدخول وتوافره.

في عمليات النشر متعددة المستأجرين التي تستخدم WebAuthn مع تجمع مستخدمين مشترك، يفشل الخادم في قصر عمليات البحث على المستأجر المطلوب ولا يتحقق من عضوية المستأجر أثناء تسجيل الدخول. يسمح هذا للمستخدم الذي يمتلك مفتاح مرور (passkey) صالح في أحد المستأجرين بالمصادقة في مستأجر آخر ضمن نفس التطبيق، حتى بدون وجود عضوية في المستأجر المستهدف. تتضمن المشكلة الدالتين `loadOptionsById Transaction()` و `getUserInfoByCredentialId Transaction()`، بالإضافة إلى طريقة `WebAuthN.signIn`.