PT-2026-147448
CVE-2026-129465
·
تاريخ النشر
2026-11-15
·
تاريخ التحديث
2026-11-15
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Zr.Admin.NET الإصدارات من af07ffc إلى eb9228a
Description
يوجد خلل في المرجع المباشر غير الآمن للكائنات في دالة
UpdateProfile ضمن SysProfileController. يسمح هذا لأي مستخدم مصرح له بتعديل حسابات أخرى عن طريق التلاعب بمتغير UserId. يمكن للمهاجم تغيير رقم هاتف المسؤول إلى رقم يتحكم فيه، وطلب رمز SMS عبر نقطة النهاية '/checkMobile'، ثم استخدام نقطة النهاية '/PhoneLogin' للاستيلاء على حساب المسؤول.Recommendations
تحديث Zr.Admin.NET إلى إصدار يتجاوز commit eb9228a.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى دالة
UpdateProfile في SysProfileController لمنع التعديل غير المصرح به لمتغير UserId. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾