PT-2026-144406
CVE-2026-125331
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
HarnessRouter الإصدارات السابقة لـ 0.31.8
Description
في عمليات النشر متعددة المؤسسات، تقوم لوحة التحكم التي لا تعمل في وضع الاستضافة الذاتية بإرفاق المفتاح الداخلي للخادم بالطلبات التي تحمل ترويسة تفويض (Authorization header) قبل التحقق من حامل المفتاح (bearer). وتثق بعض المسارات المخصصة للخدمة فقط بهذا المفتاح وتأخذ معرف المؤسسة من عنوان URL. يتيح ذلك لمتصل عن بُعد غير مصرح له استخدام حامل مفتاح وهمي لإعادة توجيه اتصال مزود مؤسسة أخرى إلى نقطة نهاية يسيطر عليها المهاجم، مما يؤدي إلى كشف المطالبات اللاحقة وتأثير الاستجابات التي يتحكم بها المهاجم على المهام. تشمل نقاط نهاية API المتأثرة 'PUT /v1/orgs/{org}/connections/{name}' و 'PUT /v1/orgs/{org}/policy/{backend}' وجميع المسارات تحت '/internal/*'.
Recommendations
التحديث إلى الإصدار 0.31.8.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾