CVE-2026-102460

اسم البرنامج المصاب والإصدارات المتأثرة Eclipse Vert.x الإصدارات من 4.0.0 إلى 4.5.34 Eclipse Vert.x الإصدارات من 5.0.0 إلى 5.0.12 Eclipse Vert.x الإصدارات من 5.1.0 إلى 5.1.9 Eclipse Vert.x الإصدار 5.2.0

Description يوجد خلل في تجاوز النطاق (scope bypass) في ChainAuthHandler الخاص بـ Eclipse Vert.x Web عند استخدامه مع معالجات المصادقة التي تتطلب نطاقات، مثل JWTAuthHandler أو OAuth2AuthHandler. عندما يكون المستخدم مصادقًا بالفعل بواسطة معالج سابق في مسار الطلب، يتجاهل ChainAuthHandler جميع عمليات التحقق من النطاق التي تم تكوينها عبر withScope() أو withScopes()، ويؤثر ذلك على وضعي السلسلة any() و all(). يعود السبب في ذلك إلى أن الدالة postAuthentication() تعتمد على حالة داخلية يتم تعيينها فقط خلال مرحلة authenticate()، والتي يتم تخطيها تمامًا للمستخدمين الذين تمت مصادقتهم مسبقًا. يسمح هذا للمستخدم الذي يمتلك رمزًا صالحًا ولكن بنطاقات غير كافية بالوصول إلى الموارد المحمية، خاصة في حالات تداخل معالجات المصادقة في المسارات المتداخلة.

Recommendations تحديث إصدارات Eclipse Vert.x من 4.0.0 إلى 4.5.34 إلى إصدار أحدث من 4.5.34. تحديث إصدارات Eclipse Vert.x من 5.0.0 إلى 5.0.12 إلى إصدار أحدث من 5.0.12. تحديث إصدارات Eclipse Vert.x من 5.1.0 إلى 5.1.9 إلى إصدار أحدث من 5.1.9. تحديث إصدار Eclipse Vert.x 5.2.0 إلى إصدار أحدث من 5.2.0.