PT-2026-138427
CVE-2026-63439
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
2FAuth الإصدارات السابقة لـ 8.0.0
الوصف
عندما يتم ضبط
AUTHENTICATION GUARD على reverse-proxy-guard ، تقوم الدالة ReverseProxyGuard::user() بقراءة ترويسة الهوية الافتراضية REMOTE USER أو ترويسة مخصصة محددة بواسطة إعداد التكوين AUTH PROXY HEADER FOR USER دون التأكد من أن الطلب صادر من وكيل (proxy) موثوق به. يمكن لعميل عن بُعد يمكنه الوصول إلى التطبيق مباشرة تزوير ترويسات الهوية هذه والمصادقة كمستخدم موجود، بما في ذلك المسؤول، مما يمنح وصولاً غير مصرح به إلى أسرار المصادقة الثنائية (2FA) المخزنة ووظائف إدارة الحساب أو التطبيق.التوصيات
التحديث إلى الإصدار 8.0.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾