PT-2026-120840
CVE-2026-103090
·
تاريخ النشر
2026-10-21
·
تاريخ التحديث
2026-10-21
الوصف من
CVSS 4.0
8.8
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Google OSS Agent Mesh (SAM) الإصدارات من 0.1.0-alpha.1 إلى 0.1.0-alpha.8
الوصف
يؤدي فقدان المصادقة وعدم حماية الاعتمادات بشكل كافٍ في معالج حالة تسجيل مستوى التحكم
HandleEnrollStatus() في نقطة النهاية 'GET /enroll/status' إلى السماح لمهاجم عن بُعد غير مصرح له باسترداد رمز هوية Biscuit موقع لند (peer) مسجل عبر bootstrap معتمد، وذلك من خلال تقديم peer id يمكن الحصول عليه من نقطة النهاية 'GET /info'. بالإضافة إلى ذلك، تسمح ثغرة في نقطة النهاية 'POST /enroll' لأي حامل لرمز bootstrap بإعادة جلب اعتمادات ند آخر. يمكن للمهاجم إعادة استخدام رمز Biscuit المكشوف كاعتماد حامل لقراءة سياسات تفويض الشبكة عبر نقطة النهاية '/policies' أو الكتابة فوق عناوين multiaddrs الخاصة بالموجه عبر نقطة النهاية '/routers/lease'.التوصيات
التحديث إلى الإصدار 0.1.0-alpha.9 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾