PT-2026-27197
CVE-2026-30886
·
تاريخ النشر
2026-03-23
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
الإصدارات الجديدة من واجهة برمجة التطبيقات (API) التي تسبق الإصدار 0.11.4-alpha.2
الوصف
يحتوي البرنامج على ثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) في نقطة نهاية وكيل الفيديو. يمكن لأي مستخدم تمت مصادقته الوصول إلى محتوى الفيديو الخاص بمستخدمين آخرين من خلال استغلال عدم وجود فحص للتفويض. وعلى وجه التحديد، تقوم الدالة
model.GetByOnlyTaskId(taskID) بالاستعلام عن المهام باستخدام task id فقط دون التحقق من ملكية المستخدم، في حين أن عمليات البحث عن المهام الأخرى تفرض الملكية بشكل صحيح باستخدام model.GetByTaskId(userId, taskID). وهذا يسمح للمهاجم بتجاوز عزل المستأجر لأصول الوسائط التي تم إنشاؤها، وربما الوصول إلى البيانات الحساسة، بما في ذلك رؤوس الاستجابة المنبثقة ومفاتيح واجهة برمجة التطبيقات (API) المستخدمة للاتصال بمزودي الذكاء الاصطناعي مثل Google Gemini و OpenAI. نقطة نهاية واجهة برمجة التطبيقات (API) المعرضة للخطر هي GET /v1/videos/:task id/content. المعلمة المعرضة للخطر هي task id. المعالج المعرض للخطر هو controller.VideoProxy. يمكن للمهاجم استغلال هذه الثغرة عن طريق إرسال طلب إلى نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة باستخدام task id معروف ينتمي إلى مستخدم آخر.التوصيات
استبدل عملية البحث عن المهمة في
VideoProxy باستعلام يتم فيه التحقق من الملكية:go
userId := c.GetInt(”id“)
task, exists, err := model.GetByTaskId(userId, taskID)
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾