PT-2026-145406
CVE-2026-76078
·
تاريخ النشر
2026-11-11
·
تاريخ التحديث
2026-11-11
الوصف من
CVSS 3.1
3.1
منخفضةالمقاييسAV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Probo الإصدارات السابقة لـ 0.224.0
Description
تكشف واجهة برمجة تطبيقات GraphQL الخاصة بـ Trust Center العامة عن نقاط النهاية
acceptElectronicSignature و recordSigningEvent. هذه النقاط محمية فقط بمتطلبات المصادقة والجلسة، مما يسمح لأي هوية مركز ثقة ذاتية التزويد بالوصول إليها. تستخدم الوظائف الأساسية esign.Service.AcceptSignature و esign.Service.recordEvent معرف GID signatureId المقدم من العميل لتحميل التوقيع دون التحقق مما إذا كان التوقيع ينتمي إلى المتصل أو إذا كان بريد المتصل الإلكتروني يتطابق مع SignerEmail. نتيجة لذلك، يمكن للزائر المصادق عليه الذي يمتلك معرف GID لتوقيع زائر آخر إكمال توقيع اتفاقية عدم الإفصاح (NDA) عن طريق الكتابة فوق تفاصيل الموقع وتعيين الحالة إلى مقبول، أو حقن أحداث سجل مراجعة تعسفية في سجل التوقيع، مما يضر بضمانات عدم الإنكار والنزاهة لنظام التوقيع الإلكتروني.Recommendations
التحديث إلى الإصدار 0.224.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾