PT-2026-115207 · Scoold · Scoold
CVE-2026-57183
·
تاريخ النشر
2026-10-15
·
تاريخ التحديث
2026-10-15
CVSS v3.1
6.1
متوسطة
| المتجه | AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Scoold الإصدارات السابقة لـ 1.69.1
الوصف
تسمح الدالة
checkApiAuth() في src/main/java/com/erudika/scoold/utils/ScooldUtils.java باستخدام رمز JSON Web Token (JWT) موقع بواسطة app secret key أو para secret key لنقاط النهاية '/api/config' و '/api/stats' دون الحاجة إلى jti مفتاح API مسجل. تقوم هذه العملية بربط الطلب بـ API USER الإداري المدمج. تظل عمليات التحقق من نقاط النهاية هذه نشطة حتى عندما تكون قيمة scoold.api enabled خاطئة. يمكن للمهاجم الذي يحصل على أي من مفاتيح التوقيع تزوير رمز للوصول إلى وظائف التكوين المميزة وقراءة سجلات الخادم وبيانات التكوين الحساسة.التوصيات
التحديث إلى الإصدار 1.69.1.
استغلال
إصلاح
Improper Authentication
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Scoold