PT-2026-138441
CVE-2026-71863
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
2.6
منخفضةالمقاييسAV:N/AC:H/PR:H/UI:R/S:C/C:L/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
SecureDrop الإصدارات من 2.13.0 إلى 2.16.0
الوصف
عند تشغيل playbook Ansible الخاص بتثبيت
securedrop-admin مع تعطيل تنبيهات الصحفيين، يظل اسم ملف مفتاح تنبيه الصحفي فارغاً. يؤدي ذلك إلى قيام مهمة النسخ بنقل كل الملفات الموجودة في ~/.config/securedrop-admin/ إلى خادم المراقبة (Monitor Server)، بما في ذلك بيانات اعتماد مصادقة عميل خدمة Onion. يجب على المهاجم أولاً اختراق خادم المراقبة المميز للحصول على هذه البيانات. ومع ذلك، تظل هذه البيانات بمثابة طبقة حماية إضافية وليست وصولاً كافياً بحد ذاتها، لأن واجهة الصحفي لا تزال تتطلب اسم مستخدم وكلمة مرور ومصادقة متعددة العوامل (MFA)، بينما لا يزال الوصول عبر SSH يتطلب مفاتيح SSH.التوصيات
التحديث إلى الإصدار 2.16.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾