PT-2026-110919 · Flower · Flower
CVSS v3.1
5.9
متوسطة
| المتجه | AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:H |
اسم البرنامج المصاب والإصدارات المتأثرة
Flower الإصدارات السابقة لـ 2.2.0
Description
يحدث تزوير الطلبات عبر المواقع (CSRF) بسبب تعطيل xsrf cookies في Tornado وافتقار ملف تعريف ارتباط جلسة OAuth إلى سمة SameSite. يتيح ذلك للمهاجمين استدراج المستخدمين المصرح لهم إلى صفحات خبيثة ترسل طلبات POST غير مصرح بها إلى نقاط النهاية التالية: '/api/worker/shutdown' و '/api/worker/pool/restart' و '/api/task/revoke'. يمكن أن تؤدي هذه الإجراءات إلى إيقاف تشغيل Celery workers، أو تغيير حجم pools، أو إلغاء المهام.
Recommendations
التحديث إلى الإصدار 2.2.0 أو إصدار أحدث.
إصلاح
CSRF
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Flower