PT-2026-146639
CVE-2026-126308
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:H/AT:P/PR:L/UI:P/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Coder الإصدارات من 2.24.0 إلى 2.29.22
Coder الإصدارات من 2.30.0 إلى 2.34.13
Coder الإصدارات من 2.35.0 إلى 2.36.8
Coder الإصدارات من 2.37.0 إلى 2.37.5
Coder الإصدارات من 2.38.0 إلى 2.38.1
Description
تقوم لوحة التحكم على الويب باستبدال الموضع النائب
$SESSION TOKEN في روابط التطبيقات الخارجية بمفتاح API كامل الصلاحيات دون التحقق مما إذا كان التطبيق ينتمي إلى وكيل فرعي. يتيح ذلك للكود الذي يعمل في مساحة عمل تسجيل تطبيق وكيل فرعي متنكر باستخدام رابط بروتوكول مخصص، مما يؤدي إلى إرسال مفتاح API الخاص بالمالك إلى وجهة يختارها المهاجم عند النقر.Recommendations
التحديث إلى الإصدار 2.29.23 أو أحدث.
التحديث إلى الإصدار 2.34.14 أو أحدث.
التحديث إلى الإصدار 2.36.9 أو أحدث.
التحديث إلى الإصدار 2.37.6 أو أحدث.
التحديث إلى الإصدار 2.38.2 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾