PT-2025-48065
CVE-2025-64062
·
تاريخ النشر
2025-11-25
·
تاريخ التحديث
2025-12-01
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Primakon Pi Portal الإصدار 1.0.18
الوصف
تفتقر نقطة النهاية
/api/V2/pp users?email إلى التحقق المناسب من صحة الجلسة المصادق عليها من جانب الخادم. إن التلاعب بالمعلمة email لتصبح قيمة عشوائية، مثل otheruser@user.com، يسمح للمهاجم بالاستيلاء على الجلسة والحصول على وصول كامل إلى بيانات وامتيازات المستخدم المستهدف. وترك المعلمة email فارغة يؤدي إلى قيام التطبيق باستخدام المستخدم الأول في القائمة كقيمة افتراضية، وهو عادةً مسؤول التطبيق، مما يؤدي إلى رفع مستوى الامتيازات.التوصيات
Primakon Pi Portal الإصدار 1.0.18: تنفيذ عملية تحقق قوية من جانب الخادم للمعلمة
email في نقطة النهاية /api/V2/pp users?email لضمان مطابقتها لجلسة العمل المصادق عليها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾