PT-2026-129158
CVE-2026-118685
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
ToolJet الإصدارات من 3.20.2-lts إلى 3.20.241-lts
الوصف
يوجد تجاوز للصلاحيات في مكون
SignupDisableGuard. يقوم النظام بتقييم قيمة السلسلة النصية 'false' لإعداد التسجيل بشكل خاطئ على أنها قيمة منطقية صحيحة (truthy)، مما يؤدي إلى عدم فرض قيود التسجيل على مستوى المثيل. يتيح ذلك للمهاجمين غير المصرح لهم إرسال طلبات POST إلى نقطة النهاية '/api/signup' بدون organizationId لإنشاء حساب، والانضمام إلى مساحة العمل الافتراضية، والحصول على جلسة صالحة.التوصيات
تحديث ToolJet إلى الإصدار 3.20.242-lts أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾