PT-2026-35071
CVE-2026-41428
·
تاريخ النشر
2026-04-16
·
تاريخ التحديث
2026-05-21
الوصف من
CVSS 3.1
9.1
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Budibase الأقدم من 3.35.4
الوصف
تستخدم البرمجيات الوسيطة المصادق عليها تعبيرات نمطية غير مثبتة لمطابقة أنماط نقاط النهاية العامة مع المتغير
ctx.request.url. ونظرًا لأن ctx.request.url في Koa يتضمن سلسلة الاستعلام، يمكن للمهاجم تجاوز المصادقة والوصول إلى نقاط النهاية المحمية عن طريق إضافة مسار نقطة نهاية عامة كمعلمة استعلام. على سبيل المثال، يؤدي استخدام نقطة النهاية ’/api/global/users/search‘ مع معلمة استعلام مثل x=/api/system/status إلى السماح بالوصول غير المصرح به لأن التعبير النمطي يطابق جزء سلسلة الاستعلام من عنوان URL.التوصيات
قم بالتحديث إلى الإصدار 3.35.4.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾