PT-2026-110216
CVE-2026-107761
·
تاريخ النشر
2026-10-11
·
تاريخ التحديث
2026-10-11
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
Postiz (إصدارات متأثرة غير محددة)
الوصف
تقوم عدة نقاط نهاية بإرجاع صفوف كاملة من قاعدة البيانات بدلاً من الحقول المحددة المطلوبة، مما يؤدي إلى كشف أسرار حساسة. تقوم نقطة نهاية حذف القناة بإرجاع صف التكامل المحذوف، والذي يتضمن رمز الوصول إلى المنصة ورمز التحديث، مما يسمح لتطبيق OAuth خارجي بالحصول على بيانات اعتماد منصات التواصل الاجتماعي. بالإضافة إلى ذلك، تقوم نقطة النهاية
GET /user/organizations بإرجاع صف المؤسسة بما في ذلك مفتاح واجهة برمجة التطبيقات (API key) لجميع الأعضاء، مما يمكن المستخدمين ذوي الأدوار الأدنى من الحصول على المفتاح المخصص للمسؤولين واستدعاء واجهة برمجة التطبيقات العامة نيابة عن المؤسسة. يتطلب الوصول إلى هذه النقاط وجود جلسة صالحة أو مفتاح API أو رمز OAuth، ويقتصر على مؤسسة المستخدم نفسه.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾