PT-2026-129225
CVE-2026-82411
·
تاريخ النشر
2026-10-28
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Open Object الإصدارات السابقة لـ 2.5.1
Open Object الإصدارات السابقة لـ 3.6.2
Open Object الإصدارات السابقة لـ 4.0.2
Open Object الإصدارات السابقة لـ 4.1.1
Description
توجد مشكلة حيث يمكن لرمز API الخاص بمستخدم غير مسؤول لديه صلاحية القراءة لنوع كائن (ObjectType) واحد الوصول إلى السجل الكامل المحدث لكائنات تنتمي إلى أي نوع كائن آخر. يحدث هذا عبر نقطة النهاية
GET /api/v2/objects/{uuid}/{index}. تقوم إجراء history detail في src/objects/api/v2/views.py بتجاوز فحوصات الأذونات الضرورية من خلال استدعاء self.get queryset() و get object or 404 بدلاً من self.get object()، مما يمنع تنفيذ check object permissions وفحص ObjectTypeBasedPermission.has object permission. نتيجة لذلك، يمكن الكشف عن data الخاصة بالكائنات المحدثة، والتي قد تتضمن سجلات مواطنين أو قضايا حساسة.Recommendations
التحديث إلى الإصدار 2.5.1.
التحديث إلى الإصدار 3.6.2.
التحديث إلى الإصدار 4.0.2.
التحديث إلى الإصدار 4.1.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾