PT-2026-137224
CVE-2026-86041
·
تاريخ النشر
2026-11-04
·
تاريخ التحديث
2026-11-04
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
ezBookkeeping الإصدارات من 0.10.0 إلى 1.5.9
الوصف
يقوم التطبيق ببناء موجه Gin الخاص به باستخدام
gin.New() دون تكوين SetTrustedProxies مما يؤدي إلى ثقة c.ClientIP() في قيم X-Forwarded-For المزيفة. يمكن لمهاجم عن بعد غير مصرح له تقديم عنوان مدرج في القائمة البيضاء لتجاوز بوابات mcp allowed remote ips أو api token allowed remote ips. وبالرغم من أن الإجراءات المحمية لا تزال تتطلب رمز MCP أو API صالح، إلا أن القيمة المزيفة يتم تخزينها في Transaction.CreatedIp وسجل الطلبات، مما ينسب النشاط إلى مضيف موثوق بدلاً من المهاجم.التوصيات
التحديث إلى الإصدار 1.6.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾