PT-2026-24420
CVE-2026-29792
·
تاريخ النشر
2026-03-10
·
تاريخ التحديث
2026-03-10
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Feathersjs من 5.0.0 حتى 5.0.41
الوصف
Feathersjs هو إطار عمل يُستخدم لإنشاء واجهات برمجة تطبيقات الويب (APIs) والتطبيقات في الوقت الفعلي. يمكن لمهاجم غير معتمد استغلال ثغرة في وظيفة الاستدعاء المرتد (callback) لـ OAuth عن طريق إرسال طلب GET مصمم خصيصًا إلى نقطة نهاية واجهة برمجة التطبيقات (API)
/oauth/:provider/callback. ينشأ هذا الضعف عن آلية التراجع (fallback) في عملية مصادقة خدمة OAuth، والتي تعتمد على معلمات الاستعلام في الطلب (params.query) عندما تكون استجابات الجلسة أو حالة المنحة (Grant) فارغة. وهذا يسمح للمهاجم بتزوير ملف تعريف في سلسلة الاستعلام والحصول على رمز وصول صالح لمستخدم موجود دون التفاعل مع مزود OAuth. تحدث هذه الثغرة الأمنية لأن المهاجم لا يبدأ أبدًا تدفق تفويض OAuth، مما يؤدي إلى جلسة «Grant» فارغة ويؤدي إلى تشغيل آلية التراجع.التوصيات
قم بتحديث Feathersjs إلى الإصدار 5.0.42 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾