PT-2026-133549
CVE-2026-119597
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
OpenDeepWiki الإصدارات السابقة لـ 2.0.7
الوصف
يمكن للمهاجم غير المصرح له تزوير رموز المسؤول بسبب وجود مفتاح توقيع JWT مدمج في ملف
appsettings.json. باستخدام Jwt:SecretKey المعروف علنًا، يمكن للمهاجم إنشاء رموز حاملة من نوع HS256 بصلاحية مسؤول. يسمح هذا بالوصول غير المصرح به إلى نقطة النهاية /api/admin مما يمنح تحكمًا كاملاً في المستخدمين والأدوار والمستودعات والإعدادات ومفاتيح واجهة برمجة التطبيقات (API keys).التوصيات
تحديث OpenDeepWiki إلى إصدار أحدث من 2.0.6.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾