PT-2026-23802
CVE-2026-30859
·
تاريخ النشر
2026-03-06
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات WeKnora الأقدم من 0.2.12
الوصف
WeKnora هو إطار عمل مخصص للفهم العميق للوثائق والاسترجاع الدلالي. يسمح خلل في التحكم في الوصول في أداة استعلام قاعدة البيانات لأي مستأجر تمت مصادقته بقراءة البيانات الحساسة الخاصة بمستأجرين آخرين. ويشمل ذلك مفاتيح واجهة برمجة التطبيقات (API) وإعدادات النماذج والرسائل الخاصة. لا يفرض التطبيق عزل المستأجرين في الجداول الحساسة (
models، messages، embeddings)، مما يسمح بالوصول غير المصرح به إلى البيانات بين المستأجرين الذين يتمتعون بامتيازات مصادقة على مستوى المستخدم. السبب الجذري هو عدم التوافق بين الجداول القابلة للاستعلام والجداول المحمية بالعزل بين المستأجرين. على وجه التحديد، الجداول messages وembeddings وmodels قابلة للاستعلام، لكنها غير محمية بالعزل بين المستأجرين، مما يعني أن الاستعلامات في هذه الجداول لا يخضع لها مرشح WHERE tenant id = X التلقائي. يمكن للمهاجم استغلال هذه الثغرة عن طريق إنشاء استعلامات SQL باستخدام أداة database query للوصول إلى البيانات الحساسة الخاصة بالمستأجرين الآخرين. يقع الكود المعرض للخطر في internal/utils/inject.go وdatabase query.go.التوصيات
قم بالتحديث إلى الإصدار 0.2.12 من WeKnora أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾