PT-2026-110747 · Unknown · Network-Ai
CVSS v4.0
5.3
متوسطة
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Network-AI الإصدارات من 5.0.0 إلى 5.15.1
الوصف
يعاني DashboardServer من ثغرة اختطاف WebSocket عبر المواقع (cross-site WebSocket hijacking)، وهي خلل يقوم فيه المهاجم بخداع متصفح المستخدم لإنشاء اتصال WebSocket بخادم مختلف عن الخادم الذي قصده المستخدم. يحدث هذا لأن الدالة
handleUpgrade() لا تقوم بالتحقق من الأصل (Origin) أو الرمز (token). يمكن للمهاجم عن بُعد استدراج الضحية إلى صفحة خبيثة تفتح WebSocket إلى لوحة تحكم loopback لتسريب معرفات الوكلاء، والأدوار، وأوصاف المهام، وميزانيات الرموز.التوصيات
تحديث Network-AI إلى الإصدار 5.15.2 أو إصدار أحدث.
استغلال
إصلاح
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Network-Ai