PT-2026-138453
CVE-2026-85708
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-06
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Chartbrew الإصدارات السابقة لـ 5.2.3
الوصف
يتم توقيع رموز مشاركة وتضمين المخططات باستخدام المتغير
CB SECRET الذي قد يحتوي على قيم معروفة أو افتراضية في بعض تثبيتات Docker Compose. يسمح هذا لمهاجم غير مصرح له يعرف قيمة CB SECRET بتزوير رمز موضوع المخطط للمخططات الخاصة التي تمت مشاركتها مرة واحدة على الأقل. تكمن المشكلة في التحقق من رمز مشاركة المخطط ومسارات الوصول إلى التصفية للمخططات الخاصة، حيث يتم قبول معرفات صحيحة متسلسلة دون الحاجة إلى رابط مشاركة شرعي. وبناءً على ذلك، يمكن للمهاجم تعداد هذه المعرفات لقراءة بيانات المخططات الخاصة التعسفية، مثل chartData. وتكون آليات انتهاء صلاحية الرموز وإلغائها غير فعالة إذا تم كشف السر.التوصيات
التحديث إلى الإصدار 5.2.3.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾