PT-2026-26483
CVE-2026-33326
·
تاريخ النشر
2026-03-19
·
تاريخ التحديث
2026-05-04
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Keystone الأقدم من 6.5.2
الوصف
Keystone هو نظام لإدارة المحتوى مخصص لـ Node.js. توجد ثغرة في التحكم في الوصول في استعلامات
findMany من خلال المعلمة cursor. وعلى وجه التحديد، يمكن التحايل على التحكم في الوصول {field}.isFilterable، مما قد يسمح بالتأكد من وجود سجلات تحتوي على قيم حقول محمية. عالج الإصلاح الخاص بمشكلة ذات صلة (CVE-2025-46720) المعلمة where في عمليات التعديل update وdelete، لكنه لم يشمل المعلمة cursor في findMany. وهذا يسمح بتجاوز التحكم في الوصول isFilterable باستخدام دالة. تؤثر هذه المشكلة على المشاريع التي تعتمد على سلوك isFilterable لمنع المستخدمين الخارجيين من استخدام التصفية كآلية لاكتشاف البيانات. نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة هي findMany. المعلمة المعرضة للخطر هي cursor.التوصيات
قم بالتحديث إلى إصدار Keystone 6.5.2 أو أحدث.
كحل بديل، قم بتعيين
{field}.isFilterable: false بشكل ثابت للحقول ذات الصلة.كحل بديل، قم بتعيين
{field}.graphql.omit.read: true للحقول ذات الصلة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾