PT-2026-3454
CVE-2026-23522
·
تاريخ النشر
2026-01-19
·
تاريخ التحديث
2026-01-20
الوصف من
CVSS 3.1
3.7
منخفضةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات LobeChat الأقدم من 2.0.0-next.193
الوصف
LobeChat هي منصة تطبيق دردشة مفتوحة المصدر. قبل الإصدار 2.0.0-next.193، كانت نقطة النهاية tRPC
knowledgeBase.removeFilesFromKnowledgeBase تسمح للمستخدمين المصادق عليهم بحذف الملفات من أي قاعدة معرفية دون التحقق بشكل كافٍ من ملكيتها. تم تعليق مرشح userId في استعلام قاعدة البيانات، مما يسمح للمهاجمين بحذف الملفات من قواعد المعرفة الخاصة بالمستخدمين الآخرين في حال معرفتهم بمعرف قاعدة المعرفة ومعرف الملف. يتطلب الاستغلال الفعلي معرفة معرف قاعدة المعرفة ومعرف الملف المستهدف، واللذين قد يتسربان عبر الروابط المشتركة أو السجلات أو رؤوس الإحالة. يُعد غياب هذا التحقق من التفويض ثغرة أمنية خطيرة.التوصيات
قم بالتحديث إلى الإصدار 2.0.0-next.193 للحصول على التصحيح.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾