PT-2026-147440
CVE-2026-129349
·
تاريخ النشر
2026-11-14
·
تاريخ التحديث
2026-11-15
الوصف من
CVSS 4.0
9.1
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:N/AU:Y/R:U/V:C/RE:L/U:Red
اسم البرنامج المصاب والإصدارات المتأثرة
Apache Shiro الإصدارات السابقة لـ 3.0.1
Description
يوجد تجاوز للمصادقة عند استخدام
DefaultLdapRealm مع تفعيل إعداد authenticationCachingEnabled. في هذا التكوين، يتخطى الإطار التحقق من خادم LDAP للمستخدمين الذين سبق لهم تسجيل الدخول، وبدلاً من ذلك يستخدم مطابقة اعتمادات افتراضية تقبل أي كلمة مرور. يمكن للمهاجم الحصول على وصول غير مصرح به من خلال تقديم اسم مستخدم صالح فقط لمستخدم قام بتسجيل الدخول مرة واحدة.Recommendations
التحديث إلى الإصدار 3.0.1 أو أحدث.
تعطيل إعداد
authenticationCachingEnabled لمنع عملية التجاوز. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾