CVE-2026-123800

اسم البرنامج المصاب والإصدارات المتأثرة SuperTokens Core الإصدارات من 6.0.0 إلى 6.0.23 SuperTokens Core الإصدارات من 7.0.0 إلى 7.0.22 SuperTokens Core الإصدارات من 8.0.0 إلى 8.0.6 SuperTokens Core الإصدارات من 9.0.0 إلى 9.0.5 SuperTokens Core الإصدارات من 9.1.0 إلى 9.1.5 SuperTokens Core الإصدارات من 9.2.0 إلى 9.2.6 SuperTokens Core الإصدارات من 9.3.0 إلى 9.3.4 SuperTokens Core الإصدارات من 10.0.0 إلى 10.0.7 SuperTokens Core الإصدارات من 10.1.0 إلى 10.1.8 SuperTokens Core الإصدارات من 11.0.0 إلى 11.0.8 SuperTokens Core الإصدارات من 11.1.0 إلى 11.1.3 SuperTokens Core الإصدارات من 11.2.0 إلى 11.2.3 SuperTokens Core الإصدارات من 11.3.0 إلى 11.3.7 SuperTokens Core الإصدارات من 11.4.0 إلى 11.4.7 SuperTokens Core الإصدارات من 12.0.0 إلى 12.0.10 SuperTokens Core الإصدارات من 12.1.0 إلى 12.1.1 SuperTokens Core الإصدار 12.2.0 SuperTokens Core الإصدار 12.3.0

الوصف يوجد خلل في التصريح ضمن الدالة checkPermissionsForCreateOrUpdate() في فئة Multitenancy. في عمليات النشر متعددة المستأجرين المرخصة حيث تتشارك تطبيقات متعددة نطاق URI اتصال غير افتراضي وتستخدم api keys منفصلة، يمكن للمهاجم الذي يمتلك مفتاح API صالح لأحد التطبيقات تحديث نطاق URI اتصال الأب. يحدث هذا لأن النظام لا يشترط أن يكون التطبيق والمستأجر المصدر عامين عند التحقق من النطاق أثناء عمليات الإنشاء أو التحديث. نتيجة لذلك، يمكن للمهاجم استبدال المفتاح الأب ومفاتيح التطبيقات الشقيقة، وتعديل المستخدمين الشركاء، واختطاف الجلسات، وتثبيت الوصول عبر مستخدمي لوحة تحكم شقيقة. بالإضافة إلى ذلك، فإن حذف المعرف الاختياري في معالجات الإنشاء أو التحديث من الإصدار v2 يسمح للمهاجم باستهداف المستأجر الأساسي، وتجاوز فروع التصاريح وبوابات الميزات المؤسسية لتعديل firstFactors والعوامل الثانوية المطلوبة وأعلام الوصفات المفعلة، مما يؤثر على سلامة تسجيل الدخول وتوافره.

التوصيات التحديث إلى الإصدار 6.0.24 التحديث إلى الإصدار 7.0.23 التحديث إلى الإصدار 8.0.7 التحديث إلى الإصدار 9.0.6 التحديث إلى الإصدار 9.1.6 التحديث إلى الإصدار 9.2.7 التحديث إلى الإصدار 9.3.5 التحديث إلى الإصدار 10.0.8 التحديث إلى الإصدار 10.1.9 التحديث إلى الإصدار 11.0.9 التحديث إلى الإصدار 11.1.4 التحديث إلى الإصدار 11.2.4 التحديث إلى الإصدار 11.3.8 التحديث إلى الإصدار 11.4.8 التحديث إلى الإصدار 12.0.11 التحديث إلى الإصدار 12.1.2 التحديث إلى الإصدار 12.2.1 التحديث إلى الإصدار 12.3.1