PT-2025-12208
CVE-2024-8026
·
تاريخ النشر
2025-03-20
·
تاريخ التحديث
2025-03-20
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
netease-youdao/qanything (الإصدارات المتأثرة غير محددة)
الوصف
توجد ثغرة أمنية من نوع تزوير الطلبات عبر المواقع (CSRF) في واجهة برمجة التطبيقات (API) للخلفية بسبب رؤوس CORS مفرطة التساهل، مما يسمح بجميع الطلبات عبر الأصول. يؤثر هذا على جميع نقاط نهاية الخلفية (endpoints)، مما يتيح إجراء عمليات مثل إنشاء الملفات وتحميلها وإدراجها وحذفها وإدارة قواعد المعرفة.
التوصيات
كإجراء مؤقت، يُنصح بتقييد الوصول إلى نقاط نهاية واجهة برمجة التطبيقات (API) للخلفية حتى يتوفر تصحيح.
قم بتقييد الطلبات عبر الأصول (cross-origin) عن طريق تكوين رؤوس CORS للسماح فقط بالمجالات الضرورية.
تجنب استخدام واجهة برمجة تطبيقات الخلفية (API) للعمليات الحساسة حتى يتم حل المشكلة.
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾