PT-2025-23229
CVE-2025-48948
·
تاريخ النشر
2025-05-29
·
تاريخ التحديث
2025-08-26
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Navidrome الأقدم من 0.56.0
الوصف
يسمح خلل في التحقق من الأذونات في Navidrome لأي مستخدم عادي مسجل الدخول بتجاوز عمليات التحقق من التفويض وتنفيذ عمليات تكوين التحويل الرقمي الحصرية للمسؤول، بما في ذلك إنشاء إعدادات التحويل الرقمي وتعديلها وحذفها. توجد هذه الثغرة الأمنية في نقاط نهاية واجهة برمجة التطبيقات (API) التي تدير إعدادات التحويل الرقمي، مثل
POST /api/transcoding وPUT /api/transcoding/:id وDELETE /api/transcoding/:id وGET /api/transcoding. يفشل التطبيق في التحقق بشكل صحيح مما إذا كان المستخدم يتمتع بامتيازات إدارية عند معالجة طلبات إعدادات التحويل الرقمي، على الرغم من أن رمز JWT يشير بوضوح إلى أن المستخدم ليس مسؤولاً (”adm“:false).التوصيات
بالنسبة لإصدارات Navidrome الأقدم من 0.56.0، قم بالتحديث إلى الإصدار 0.56.0 لتطبيق التصحيح. كإجراء مؤقت، ضع في اعتبارك تعطيل وظيفة التحويل لتقليل مخاطر الاستغلال. قم بتقييد الوصول إلى نقاط نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر لتقليل مخاطر التغييرات غير المصرح بها في التكوين. تجنب استخدام نقاط النهاية
POST /api/transcoding وPUT /api/transcoding/:id وDELETE /api/transcoding/:id وGET /api/transcoding باستخدام بيانات اعتماد المستخدم العادية حتى يتم حل المشكلة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾