PT-2026-141755
CVE-2026-125759
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 4.0
7.7
عاليةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Nango الإصدارات السابقة إلى 0.71.3
Description
يمكن للمهاجمين غير المصرح لهم تنفيذ استعلامات SQL عشوائية من خلال تقديم مفتاح مجموعة مهام مصمم خصيصًا إلى واجهة برمجة تطبيقات المنسق (orchestrator API). من خلال إرسال
group.key خبيث إلى نقطة النهاية 'POST /v1/immediate'، تقوم الدالة TaskEventsHandler.notify() بإدراج المدخلات في بيان Postgres NOTIFY، مما يسمح بتشغيل استعلامات متراكمة ضد قاعدة بيانات المجدول.Recommendations
تحديث Nango إلى الإصدار 0.71.3 أو إصدار أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية 'POST /v1/immediate' أو تجنب استخدام المعلمة
group.key حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾