PT-2026-135458
CVE-2026-120442
·
تاريخ النشر
2026-11-02
·
تاريخ التحديث
2026-11-02
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
ape-volo-admin الإصدارات السابقة لـ 3.6.1
Description
يوجد خلل في تجاوز المصادقة يسمح للمهاجمين غير المصرح لهم بتزوير رموز المسؤول. هذا ممكن بسبب وجود مفتاح توقيع JWT (JSON Web Token) ثابت مدمج في ملف
appsettings.json. يمكن للمهاجمين توقيع الرموز دون اتصال بالإنترنت عن طريق تعيين المطالبة jti إلى معرف المسؤول الأساسي، مما يمنحهم تحكماً كاملاً في واجهة برمجة التطبيقات (API) فيما يتعلق بالمستخدمين والأدوار والأذونات والبيانات.Recommendations
التحديث إلى الإصدار 3.6.1 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾