PT-2026-146943
CVE-2026-124278
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
7.6
عاليةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
grpc server الإصدارات من 1.0.0 إلى 1.0.9
grpc الإصدارات من 0.8.0 إلى 0.9.9
Description
يحدث تجاوز للصلاحيات عندما يقوم المعالج بالتعامل مع مورد مختلف عن المورد المحدد في عنوان URL لمسار محول عبر HTTP. يحدث هذا لأن الدالة
GRPC.Server.do handle request/4 تطبق ارتباطات مسار المسار على رسالة الطلب فقط أثناء تحويل HTTP. إذا تم إرسال طلب بنوع محتوى Content-Type من نوع application/grpc أو application/grpc-web ، فإن النظام يقوم بفك تشفير الرسالة من الجسم وحده، متجاهلاً ارتباطات المسار. نتيجة لذلك، قد يرى بوابة أمنية أو جدار حماية تطبيقات الويب (WAF) يقوم بتفويض الطلب بناءً على مسار URL موردًا معينًا، بينما يعالج المعالج موردًا آخر بناءً على محتوى الجسم. يسمح هذا للمهاجم بالوصول المحتمل إلى موارد تخص مستخدمين أو مستأجرين آخرين أو تعديلها.Recommendations
تحديث grpc server إلى الإصدار 1.1.0 أو أحدث.
تحديث grpc إلى الإصدار 1.0.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾