CVE-2026-62180

اسم البرنامج المصاب والإصدارات المتأثرة praisonai-platform الإصدارات من 0.1.6 إلى 0.1.8

Description تسمح ثغرة في التصريح لأعضاء مساحة العمل العاديين بتعديل التصنيفات المشتركة وإدارة تعيينات التصنيفات في المشكلات التي أنشأها المالكون أو المسؤولون. بينما يقتصر الحذف المباشر للتصنيفات على الأدوار الإدارية، لا يزال بإمكان الأعضاء إعادة تسمير وتغيير لون التصنيفات المشتركة أو إضافة وإزالة التصنيفات من المشكلات التي أنشأها المالك. تؤدي هذه المشكلة إلى فقدان سلامة سير العمل وحالة الفرز.

تشمل التفاصيل الفنية نقاط نهاية API المتأثرة التالية:

تفشل نقاط النهاية هذه في التحقق مما إذا كان المتصل يمتلك صلاحيات المالك أو المسؤول، وتعتمد فقط على عضوية مساحة العمل العامة. يتم استدعاء الدوال LabelService.update() و LabelService.add to issue() و LabelService.remove from issue() دون إجراء فحوصات تصريح كافية.

Recommendations بالنسبة للإصدارات من 0.1.6 إلى 0.1.8، يجب طلب صلاحية مسؤول أو مالك مساحة العمل لنقاط النهاية PATCH /workspaces/{workspace id}/labels/{label id} و POST /workspaces/{workspace id}/issues/{issue id}/labels/{label id} و DELETE /workspaces/{workspace id}/issues/{issue id}/labels/{label id} عندما لا يكون التصنيف أو المشكلة المستهدفة قد تم إنشاؤها بواسطة المتصل.