PT-2026-120725
CVE-2026-105927
·
تاريخ النشر
2026-10-21
·
تاريخ التحديث
2026-10-21
الوصف من
CVSS 4.0
2.3
منخفضةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
Apache Pulsar الإصدارات من 2.3.0 إلى 4.0.13
Apache Pulsar الإصدارات من 4.1.0 إلى 4.2.4
Description
تحدث ثغرة في خدمة WebSocket الخاصة بـ Apache Pulsar حيث لا تتحقق الخدمة مما إذا كان المستخدم المتصل يمتلك صلاحيات الإنتاج (PRODUCE) اللازمة للموضوع المحدد في معامل الاستعلام
deadLetterTopic بنقطة نهاية المستهلك. بينما تتحقق الخدمة من صلاحيات الاستهلاك (CONSUME) في الموضوع المشترك، فإنها تقوم بكتابة رسائل الخطابات الميتة (dead letter) باستخدام هوية عميل الوسيط (broker client identity) الخاصة بها بدلاً من هوية المستخدم. يسمح هذا لمستخدم مصادق عليه يمتلك صلاحيات الاستهلاك في أي موضوع بحقن رسائل في موضوع عشوائي ضمن أي مساحة اسم (namespace) موجودة، بما في ذلك مساحات الأسماء التابعة لمستأجرين آخرين، بشرط أن يمتلك دور خدمة WebSocket الصلاحيات المطلوبة وألا يفرض الموضوع المستهدف التحقق من المخطط (schema validation). تظهر هذه المشكلة فقط عند تمكين خدمة WebSocket عبر إعداد webSocketServiceEnabled في الوسيط أو عند استخدامها كوكيل WebSocket مستقل. ويتمثل التأثير في الحقن غير المصرح به للرسائل، مما قد يؤدي إلى استهلاك مساحة التخزين وسعة التراكم في مساحة الاسم المستهدفة.Recommendations
تحديث Apache Pulsar الإصدارات من 2.3.0 إلى 4.0.13 إلى الإصدار 4.0.14 أو أحدث.
تحديث Apache Pulsar الإصدارات من 4.1.0 إلى 4.2.4 إلى الإصدار 4.2.5 أو أحدث.
تعطيل خدمة WebSocket إذا لم تكن مطلوبة.
تقييد الوصول إلى الشبكة لخدمة WebSocket.
قصر صلاحيات الدور الذي تستخدمه خدمة WebSocket على مساحات الأسماء التي يُسمح لعملاء WebSocket بالوصول إليها فقط.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾