PT-2026-128224
CVE-2026-55369
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-29
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Waline الإصدارات السابقة لـ 1.41.1
Description
يقوم نقطة نهاية تسجيل الدخول 'POST /api/token' بقراءة حقل
email من جسم الطلب دون التحقق من نوعه وتمريره مباشرة إلى استعلام تخزين MongoDB. عندما لا يكون حقل email سلسلة نصية، مثل كونه كائن JSON، تقوم الدالة parseWhere() في محول تخزين MongoDB بإسقاط الحقل بصمت، مما يؤدي إلى إنشاء عامل تصفية فارغ يطابق جميع المستخدمين. بعد ذلك، يتحقق النظام من كلمة المرور المقدمة مقابل أول مستخدم يتم إرجاعه، وهو عادةً مدير الموقع. يؤدي هذا إلى تجاوز جزئي للمصادقة حيث يتم إزالة عامل تحديد البريد الإلكتروني لحساب المسؤول، مما يسمح بتعداد المستخدمين وتضخيم هجمات حشو الاعتمادات (credential-stuffing)، حيث يمكن للمهاجم اختبار كلمات مرور مسربة أو ضعيفة ضد حساب المسؤول دون معرفة بريده الإلكتروني.Recommendations
التحديث إلى الإصدار 1.41.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾