PT-2026-120578
CVE-2026-114391
·
تاريخ النشر
2026-10-21
·
تاريخ التحديث
2026-10-21
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
ZenTao PMS الإصدارات السابقة لـ 22.3
Description
يوجد خلل في تجاوز الصلاحيات في دالة
isOpenMethod() ضمن commonModel. يسمح هذا الخلل للمستخدمين المسجلين بتجاوز فحوصات قائمة التحكم في الوصول (ACL) القائمة على المجموعات لأي طريقة تحتوي على كلمة 'ajax'. وبناءً على ذلك، يمكن للمستخدمين ذوي الصلاحيات الدنيا استدعاء طرق مثل task.ajaxGetByID و system.ajaxDBAuthUrl و admin.ajaxChangeTableEngine لقراءة البيانات، والحصول على بيانات اعتماد قاعدة البيانات، وتشغيل وظائف التكامل المستمر (CI)، وتعديل جداول قاعدة البيانات.Recommendations
تحديث ZenTao PMS إلى الإصدار 22.3 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾