PT-2026-140936
CVE-2026-123797
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
SuperTokens Core الإصدارات السابقة لـ 11.3.6
SuperTokens Core الإصدارات السابقة لـ 11.4.6
SuperTokens Core الإصدارات السابقة لـ 12.0.8
Description
يمكن لطلبات الإدارة الخاصة بالتطبيق التي تستخدم مسار مستأجر غير معروف وإصدار
cdi-version مدعوم قديم تجاوز فرض مفتاح API والمستأجر العام. في ملف WebserverAPI.java تقوم الدالتان checkIPAccess() و assertThatAPIKeyCheckPasses() بكبت استثناء TenantOrAppNotFoundException. وبما أن حارس المستأجر العام ينطبق فقط على إصدارات CDI 5.0 وما بعدها، يمكن لمستدعي غير مصرح له الوصول إلى نقطة نهاية Core لإنشاء وتعداد أدوار التطبيق بدون مفتاح API صالح عبر نقاط النهاية "PUT /ghosttenant/recipe/role" و "GET /ghosttenant/recipe/roles".Recommendations
التحديث إلى الإصدار 11.3.6.
التحديث إلى الإصدار 11.4.6.
التحديث إلى الإصدار 12.0.8.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾