PT-2026-133527
CVE-2026-119038
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
الدرجة
N/A
غير متوفرلا تتوفر حاليًا تقييمات أو مقاييس للخطورة. سنحدّث المعلومات المقابلة في الصفحة فور توفرها.
اسم البرنامج المصاب والإصدارات المتأثرة
Business::GoCardless الإصدارات السابقة لـ 1.01
الوصف
تسمح هذه المشكلة لمهاجم عن بُعد يحصل على معرف تدفق إعادة التوجيه الخاص بعميل بإنشاء دفعات أو اشتراكات مقابل تفويض ذلك العميل. تفشل الدالة
confirm resource() في التحقق من رمز الجلسة من المستدعي، وبدلاً من ذلك، تقوم باسترداد تدفق إعادة التوجيه من واجهة برمجة تطبيقات GoCardless وإكماله باستخدام الرمز الوارد في تلك الاستجابة، مما يجعل فحص الجلسة يمر دائمًا. في الإصدار 1.00، إذا كان التدفق يحتوي بالفعل على تفويض، يتم إرجاعه كـ مؤكد دون إكماله مرة أخرى، مما يسمح لنفس المعرف بإنشاء دفعة جديدة عند كل استدعاء.التوصيات
تحديث Business::GoCardless إلى الإصدار 1.01 أو إصدار أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾