PT-2026-121367
CVE-2026-115329
·
تاريخ النشر
2026-10-22
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 4.0
6.0
متوسطةالمقاييسAV:N/AC:H/AT:P/PR:L/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المتأثر والإصدارات المتأثرة
Lotus الإصدارات السابقة لـ 0.10.3
الوصف
يوجد خلل في المرجع المباشر غير الآمن للكائنات في دالة
get object() ضمن SubscriptionViewSet. ينبع هذا الخلل من استخدام مجموعة استعلام (queryset) غير محددة النطاق تفتقر إلى تصفية المؤسسة أو فحوصات الأذونات. وبناءً على ذلك، يمكن للمستخدمين المصرح لهم أو مفاتيح واجهة برمجة التطبيقات (API keys) من أي مؤسسة تقديم subscription id تابع لمؤسسة أخرى للقراءة أو الإلغاء أو التحديث أو تغيير الخطط أو تعديل الإضافات، مما يؤدي إلى تغيير فواتير مستأجر آخر.التوصيات
تحديث Lotus إلى الإصدار 0.10.3 أو إصدار أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى
SubscriptionViewSet أو دالة get object() لضمان فرض تصفية على مستوى المؤسسة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾