PT-2026-123119
CVE-2026-115635
·
تاريخ النشر
2026-10-25
·
تاريخ التحديث
2026-10-25
الوصف من
CVSS 4.0
6.0
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
ash postgres الإصدارات من 2.6.22 إلى 2.15.1
Description
توجد مشكلة في التصريح غير الصحيح تسمح للمستخدم بقراءة سجل مستأجر آخر من خلال عملية تحديث/إدراج (upsert) تم تخطيها. يحدث هذا عندما يتم تنفيذ
Ash.bulk create/4 أو عملية إنشاء واحدة كعملية upsert مع تفعيل return skipped upsert?: true ويتم تخطي العملية، على سبيل المثال عندما لا يتحقق شرط upsert condition. في هذه الحالات، يقوم AshPostgres.DataLayer باستعادة الصف الموجود باستخدام هوية الـ upsert ضمن الدالتين do bulk create/3 و upsert/4. وبما أن عملية البحث هذه لا تطبق تعدد المستأجرين الخاص بسمات المورد (attribute multitenancy)—وهي طريقة لعزل البيانات لمستأجرين مختلفين باستخدام سمة محددة—فقد تؤدي إلى إرجاع صف يخص مستأجرًا آخر يمتلك نفس قيم الهوية، مما يكشف حقوله للمستخدم.Recommendations
تحديث ash postgres إلى الإصدار 2.15.2 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾