PT-2026-137563
CVE-2026-49393
·
تاريخ النشر
2026-11-05
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
8.4
عاليةالمقاييسAV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
OpenHuman الإصدارات السابقة لـ 0.56.0
Description
يفشل الخادم الأساسي في تنفيذ المصادقة لمعالجات Socket.IO، وتحديداً
rpc:request و chat:start بينما تكون طلبات HTTP POST إلى نقطة النهاية '/rpc' محمية بواسطة برمجية وسيطة من نوع bearer. يمكن لعميل محلي غير مصرح له تجاوز هذه الحمايات من خلال الاتصال بنطاق Socket.IO لإرسال الطلبات. يتيح ذلك للمهاجم قراءة بيانات التكوين أو بيانات الحالة، أو بدء تدفقات الوكيل، أو التفاعل مع واجهات برمجة تطبيقات الحسابات المتكاملة، أو تعديل البيانات المحلية، أو إدارة الخدمات عن طريق إيقافها وإعادة تشغيلها.Recommendations
التحديث إلى الإصدار 0.56.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾