PT-2026-147445
CVE-2026-129454
·
تاريخ النشر
2026-11-15
·
تاريخ التحديث
2026-11-15
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Zr.Admin.NET الإصدارات من 85cff6a إلى eb9228a
Description
يوجد خلل في المرجع المباشر غير الآمن للكائنات في نقطة النهاية 'GET /workflow/instance/{instanceId}'. يسمح هذا للمستخدمين المصرح لهم بصلاحيات منخفضة بعرض مثيلات سير العمل الخاصة بمستخدمين آخرين من خلال تعداد قيم
instanceId المتسلسلة. يمكن أن يؤدي ذلك إلى الكشف غير المصرح به عن طلبات الموافقة، بما في ذلك تفاصيل مقدم الطلب، ومحتويات النماذج المقدمة، وسجلات الموافقة.Recommendations
تحديث Zr.Admin.NET إلى إصدار يتجاوز commit eb9228a.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية 'GET /workflow/instance/{instanceId}' لمنع التعداد غير المصرح به للمتغير
instanceId. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾