PT-2025-7553
CVE-2025-25196
·
تاريخ النشر
2025-02-19
·
تاريخ التحديث
2025-03-13
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenFGA الأقدم من 1.8.5
الوصف
تتعلق المشكلة بثغرة أمنية تتعلق بتجاوز التفويض عند تنفيذ استدعاءات معينة لـ Check و ListObject. تؤثر هذه الثغرة الأمنية على مستخدمي OpenFGA في ظل ظروف محددة، بما في ذلك استدعاء واجهة برمجة التطبيقات (API) Check أو ListObjects باستخدام نموذج يحتوي على علاقة يمكن ربطها مباشرةً بكل من الوصول العام ومجموعة مستخدمين (userset) من نفس النوع، وعندما يتم تعيين زوج من الوصول العام المرتبط بالنوع إلى كائن ما، في حين لا يتم تعيين زوج مجموعة المستخدمين. يجب أن يكون الحقل
user في طلب Check عبارة عن مجموعة مستخدمين (userset) من نفس نوع نوع المستخدم في زوج الوصول العام المرتبط بالنوع. يُنصح المستخدمون بالترقية إلى إصدار أحدث لحل المشكلة.التوصيات
لحل المشكلة، قم بالترقية إلى الإصدار 1.8.5، وهو متوافق مع الإصدارات السابقة. كحل مؤقت، يُنصح بتقييد الوصول إلى نقاط نهاية واجهة برمجة التطبيقات (API) Check و ListObjects حتى يتم تطبيق التحديث. تجنب استخدام الحقل
user في طلب Check مع مجموعة مستخدمين (userset) من نفس نوع المستخدم في التابع العام المرتبط بالنوع حتى يتم حل المشكلة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾