CVE-2026-34570

إصدارات CI4MS الأقدم من 0.31.0.0

لا يقوم التطبيق بإلغاء جلسات المستخدم النشطة فورًا عند حذف حساب ما. ويرجع ذلك إلى خلل منطقي حيث لا يتم تطبيق تغييرات حالة الحساب إلا أثناء تسجيل الدخول، وليس على الجلسات الحالية. يفترض النظام خطأً أن المستخدمين المصادق عليهم يظلون جديرين بالثقة حتى بعد حذف الحساب، مما يؤدي إلى وصول غير محدود حتى يتم تسجيل الخروج يدويًّا. وهذا يخل بالتحكم في الوصول ويسمح بالوصول غير المصرح به بشكل مستمر. تؤثر هذه المشكلة على جميع نقاط النهاية المصادق عليها، بما في ذلك واجهات الإدارة والمحتوى.

إبطال صلاحية جميع الجلسات النشطة فورًا عند حذف الحساب.

فرض إجراء فحوصات لحالة الحساب على كل طلب تمت مصادقته، وليس فقط أثناء تسجيل الدخول.

تطبيق آليات مناسبة لانتهاء صلاحية الجلسة أو الحساب لمنع الوصول إلى أجل غير مسمى.

تصحيح الخلل المنطقي في الخلفية لضمان توافق سلوك التحكم في الوصول مع التصميم الأمني المقصود، وعدم الاعتماد على افتراضات ثقة غير آمنة.