PT-2026-123040
CVE-2026-116199
·
تاريخ النشر
2026-10-25
·
تاريخ التحديث
2026-10-25
الوصف من
CVSS 4.0
9.2
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Snipe-IT الإصدارات السابقة لـ 8.6.3
الوصف
يوجد تجاوز للمصادقة في دالة
handleGoogleCallback() ضمن GoogleAuthController. يقوم النظام بتسجيل دخول المستخدمين الذين يتطابق اسم المستخدم الخاص بهم مع البريد الإلكتروني لحساب Google دون التحقق من حالة التفعيل. وبناءً على ذلك، يمكن للمستخدمين غير النشطين الذين لديهم أسماء مستخدمين على شكل بريد إلكتروني وهويات Google نشطة تسجيل الدخول عبر Google SSO واستعادة جلساتهم بمستوى صلاحياتهم الأصلي، بما في ذلك صلاحيات المسؤول.التوصيات
التحديث إلى الإصدار 8.6.3.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾