PT-2026-144664
CVE-2026-126065
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
OpenObserve الإصدارات السابقة لـ 1.1.0
Description
يوجد خلل في مصادق المصادقة المشترك الموجود في
src/api/common/src/auth/validator.rs يسمح لمهاجم غير مصرح له بتجاوز المصادقة للحسابات التي تكون فيها قيمة password ext مفقودة أو فارغة، مثل المستخدمين الذين تم إنشاؤهم عبر الهجرة أو توفير SSO. من خلال تقديم كلمة مرور HTTP Basic فارغة أو تحتوي على مسافات فقط، إلى جانب عنوان البريد الإلكتروني للمجني عليه ومنظمته، يمكن للمهاجم الوصول إلى مسارات API المحمية غير الخاصة بالاستيعاب بصلاحيات المجني عليه. إذا تم اختراق حساب ذو امتيازات، يمكن للمهاجم تعديل أو كشف البيانات عن بُعد، والتنبيهات، والتدفقات، والمستخدمين، وتكوينات الأمان. علاوة على ذلك، يمكن للحساب الذي يمتلك صلاحيات البحث استخدام API البحث لتنفيذ عبارة DataFusion COPY ... TO ، مما يسمح بإنشاء أو استبدال ملفات في مواقع قابلة للكتابة بواسطة عملية الخدمة، وهو ما قد يؤدي إلى تنفيذ عن بُعد للكود.Recommendations
التحديث إلى الإصدار 1.1.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾