PT-2026-146781
CVE-2026-126937
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
9.2
حرجةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Zipline الإصدارات السابقة لـ 4.6.5
Description
توجد حالة سباق TOCTOU (وقت التحقق من وقت الاستخدام)، والتي تحدث عندما يتحقق البرنامج من حالة مورد ما ولكن تتغير هذه الحالة قبل أن يستخدم البرنامج ذلك المورد. تظهر هذه المشكلة في نقطة النهاية 'POST /api/setup' وتسمح للمهاجمين غير المصرح لهم بإنشاء حسابات SUPERADMIN متعددة من خلال إرسال طلبات متزامنة قبل إعادة تعيين علم
firstSetup. يمكن للمهاجمين استخدام رؤوس X-Forwarded-For منتحلة خلال نافذة تجزئة argon2 للسيطرة الإدارية الكاملة على المثيل.Recommendations
تحديث Zipline إلى الإصدار 4.6.5 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾