PT-2026-24191
CVE-2026-30959
·
تاريخ النشر
2026-03-10
·
تاريخ التحديث
2026-10-07
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:L
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
OneUptime (الإصدارات المتأثرة غير محددة)
الوصف
تسمح نقطة النهاية ’resend-verification-code‘ في OneUptime للمستخدم المصادق عليه بإعادة إرسال رمز التحقق إلى أي سجل
UserWhatsApp باستخدام itemId الخاص به. توجد ثغرة خطيرة لأن النظام لا يتحقق من ملكية سجل UserWhatsApp قبل السماح بعملية إعادة الإرسال، على عكس نقطة النهاية ’verify‘. يؤثر هذا على نقطة النهاية UserWhatsAppAPI.ts والخدمة UserWhatsAppService.ts. يمكن للمهاجم الذي يمتلك حسابًا صالحًا ورمز وصول (token) استغلال هذه الثغرة لطلب رموز التحقق بشكل متكرر لرقم WhatsApp الخاص بأي مستخدم، مما قد يؤدي إلى إرسال رسائل غير مرغوب فيها، أو حجب الخدمة، أو هجمات الهندسة الاجتماعية، أو حظر الحساب. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للثغرة هي /api/user-whats-app/resend-verification-code، والتي تقبل حمولة JSON تحتوي على itemId لسجل UserWhatsApp المستهدف. المعلمة المعرضة للثغرة هي itemId.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾