PT-2026-2305
CVE-2025-12420
·
تاريخ النشر
2026-01-12
·
تاريخ التحديث
2026-09-21
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Now Assist AI Agents الأقدم من 5.1.18 و5.2.19
إصدارات Virtual Agent API الأقدم من 3.15.2 و4.0.4
منصة ServiceNow AI (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يسمح ثغرة في منصة ServiceNow AI Platform لمهاجم غير مصدق عليه بانتحال صفة أي مستخدم، بما في ذلك المسؤولون، وتنفيذ العمليات التي يحق للمستخدم المنتحل تنفيذه. تنبع المشكلة من خلل في ضوابط الوصول وسر ثابت مبرمج بشكل ثابت ومتطابق عبر جميع المثيلات في جميع أنحاء العالم، مما يسمح للمهاجمين بتجاوز المصادقة متعددة العوامل (MFA) وتسجيل الدخول الأحادي (SSO). وعلى وجه التحديد، فشلت نقطة نهاية «واجهة برمجة تطبيقات الوكيل الافتراضي (Virtual Agent API)» في إجراء التحقق من التفويض لكل إجراء على استدعاءات الأدوات، مما أدى إلى ظهور ثغرة حيث لم تُترجم المصادقة على مستوى المحيط الخارجي إلى تفويض داخل سير العمل. وقد يؤدي ذلك إلى تسريب البيانات غير المصرح به، والتلاعب بالسجلات، وتصعيد الامتيازات داخل سير العمل الحساس للأعمال.
التوصيات
قم بتحديث وكلاء الذكاء الاصطناعي في Now Assist إلى الإصدار 5.1.18 أو 5.2.19.
قم بتحديث واجهة برمجة تطبيقات الوكيل الافتراضي (Virtual Agent API) إلى الإصدار 3.15.2 أو 4.0.4.
قم بتطبيق تحديثات الأمان التي توفرها ServiceNow للمثيلات ذات الاستضافة الذاتية والعملاء المستضافين الذين لديهم تكوينات فريدة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾