PT-2026-32978
CVE-2026-40293
·
تاريخ النشر
2026-04-08
·
تاريخ التحديث
2026-08-03
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenFGA من 0.1.4 إلى 1.13.1
الوصف
عند تهيئة الخادم المحلي لاستخدام المصادقة بمفتاح مشترك مسبقًا مع تمكين بيئة الاختبار المدمجة، يقوم الخادم المحلي بتضمين مفتاح واجهة برمجة التطبيقات (API) المشترك مسبقًا في استجابة HTML لنقطة النهاية ’/playground‘. يتم تمكين نقطة النهاية هذه افتراضيًا ولا تتطلب مصادقة، حيث إنها مخصصة للتطوير المحلي وتصحيح الأخطاء بدلاً من بيئات الإنتاج. تؤثر هذه المشكلة على المثيلات التي تعمل مع تعيين
--authn-method على preshared، حيث تكون بيئة الاختبار (playground) ممكّنة ويمكن الوصول إليها من خارج localhost أو الشبكات الموثوقة.التوصيات
قم بالترقية إلى إصدار OpenFGA 1.14.0.
قم بتعطيل بيئة الاختبار (playground) عن طريق تشغيل
./openfga run --playground-enabled=false.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾