PT-2026-141135
CVE-2026-123816
·
تاريخ النشر
2026-10-09
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
pyLoad الإصدارات السابقة لـ 0.5.0b3.dev101
Description
يوجد خلل يسمح بتجاوز المصادقة في آلية تخزين مفاتيح API مؤقتًا. تقوم الدالة
Api.check apikey() بتخزين عمليات التحقق الناجحة في self. apikey cache باستخدام key id فقط، وهو عبارة عن عدد صحيح تسلسلي صغير يحدده المستخدم. عند حدوث تطابق في التخزين المؤقت خلال فترة صلاحية تبلغ 300 ثانية، يقوم النظام بإرجاع استجابة نجاح دون التحقق من سر مفتاح API مقابل الهاش المخزن باستخدام hmac.compare digest(). يمكن للمهاجم عن بُعد غير المصرح له تعداد قيم key id النشطة واستخدام مفتاح API مزور لوراثة صلاحيات مالك المفتاح المخزن مؤقتًا.Recommendations
تحديث pyLoad إلى الإصدار 0.5.0b3.dev101 أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾