PT-2026-144404
CVE-2026-125329
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 4.0
8.4
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
Kaneo الإصدارات السابقة لـ 2.13.0
الوصف
توجد مشكلة حيث يقوم endpoint "/api/external-link/task/:taskId" بإرجاع
integration.config لأي عضو في مساحة العمل، بما في ذلك أولئك الذين لديهم دور المشاهد، عندما تكون المهمة مرتبطة بقضية Gitea أو طلب سحب. يتم إرجاع integration.config بنص واضح ويحتوي على accessToken و webhookSecret الخاص بـ Gitea. يسمح هذا للمستخدمين غير المصرح لهم بتنفيذ إجراءات Gitea الممنوحة للرمز وإنشاء عمليات تسليم webhook مزورة تجتاز التحقق من HMAC (رمز مصادقة الرسائل القائم على التجزئة)، وهو آلية تستخدم للتحقق من سلامة وأصالة الرسالة.التوصيات
التحديث إلى الإصدار 2.13.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾