PT-2026-141132
CVE-2026-123813
·
تاريخ النشر
2026-10-09
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
pyLoad الإصدارات السابقة لـ 0.5.0b3.dev102
Description
يفشل pyLoad في إبطال جلسات Flask النشطة عندما يقوم المسؤول بتغيير كلمة مرور المستخدم أو صلاحياته. يحدث هذا لأن النظام يستخدم قيم الأدوار والصلاحيات المنسوخة في الجلسة أثناء تسجيل الدخول عبر الدالة
set session() في webui/app/helpers.py بدلاً من التحقق منها من قاعدة البيانات لكل طلب. وبناءً على ذلك، قد يحتفظ المستخدم بصلاحيات تم إلغاؤها أو يستمر في استخدام جلسة تم إنشاؤها بكلمة مرور قديمة طوال فترة صلاحية الجلسة، والتي تبلغ افتراضياً 44640 دقيقة.تظهر هذه المشكلة عند استخدام نقاط النهاية التالية للواجهة البرمجية (API):
- '/api/set user permission'
- '/api/change password'
لا تتأثر عملية المصادقة عبر مفاتيح API لأنها تقرأ بيانات المستخدم مباشرة من قاعدة البيانات في كل طلب.
Recommendations
تحديث pyLoad إلى الإصدار 0.5.0b3.dev102 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾