PT-2026-144978
CVE-2026-64682
·
تاريخ النشر
2026-11-11
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
AstroBlocks الإصدارات السابقة لـ 3.4.0
Description
يمكن تزوير رموز جلسة المسؤول بسبب عدم تطابق اسم متغير البيئة ووجود سر JWT (JSON Web Token) احتياطي مشفر برمجياً. يمكن للمهاجم غير المصرح له الذي يعرف القيمة الاحتياطية العامة إنشاء رمز جلسة صالح مع تعيين المتغير
role على أنه "owner"، مما يمنحه تحكماً إدارياً كاملاً في نظام إدارة المحتوى (CMS). يتيح ذلك للمهاجم إنشاء أو حذف المحتوى والمستخدمين والوسائط وعمليات إعادة التوجيه والإعدادات.Recommendations
التحديث إلى الإصدار 3.4.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾