CVE-2026-102596

اسم البرنامج المصاب والإصدارات المتأثرة Nango الإصدارات السابقة إلى 0.70.9

الوصف في الحسابات التي تم تفعيل نظام التحكم في الوصول القائم على الأدوار (RBAC) فيها من خلال خطة تكون فيها قيمة has rbac هي true، تفشل بعض مسارات قراءة التدفق الخاصة في فرض فحوصات التفويض بشكل صحيح. وتحديداً، تقوم نقاط النهاية 'GET /api/v1/integrations/:providerConfigKey/flows' و 'GET /api/v1/flow/:flowName' بتطبيق مصادقة الويب ولكنها تغفل فحص الإذن الضروري can({ action: 'read', resource: 'flow', scopedBy: envScope }). يسمح هذا للمستخدم من نفس الفريق الذي يمتلك دور development full access بطلب env=prod وقراءة بيانات تدفق تكامل الإنتاج أو تكوينات التدفق المسماة، متجاوزاً بذلك حدود دور الإنتاج. تقتصر هذه المشكلة على المستأجر نفسه ولا تسمح بتجاوز حدود المستأجرين.

التوصيات التحديث إلى الإصدار 0.70.9.