PT-2026-21958
CVE-2026-26717
·
تاريخ النشر
2026-02-25
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 3.1
4.8
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
OpenFUN Richie (LMS) (الإصدارات المتأثرة غير محددة)
الوصف
يستخدم التطبيق عامل مقارنة زمني غير ثابت للتحقق من توقيع HMAC في الدالة
sync course run from request، الموجودة في src/richie/apps/courses/api.py. وهذا يتيح للمهاجمين إمكانية تزوير توقيعات صالحة والتحايل على عملية المصادقة من خلال ملاحظة الاختلافات في أوقات الاستجابة. تتم المقارنة المعرضة للخطر باستخدام عامل ==. لم يتم ذكر نقطة نهاية واجهة برمجة التطبيقات (API) المعنية صراحةً، لكن المشكلة تكمن في وظيفة مزامنة عمليات تشغيل الدورات التدريبية. المعلمة المعرضة للخطر هي توقيع HMAC المستخدم للمصادقة.التوصيات
استبدل عامل المقارنة غير الثابت بدالة مقارنة ثابتة في الدالة
sync course run from request. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾