CVE-2026-44884

إصدارات Portainer Community Edition من 2.33.0 إلى 2.33.7

إصدارات Portainer Community Edition من 2.39.0 إلى 2.39.0

إصدارات Portainer Community Edition السابقة للإصدار 2.33.0

تسمح مشكلة نقص في التفويض في نقطة نهاية ملف القالب المخصص ”GET /api/custom templates/{id}/file“ لأي مستخدم تمت مصادقته بقراءة محتوى ملف أي قالب مخصص. ويتم ذلك عن طريق تعداد معرّفات عددية متتالية في المتغير id، مما يتجاوز قيود الوصول الخاصة بـ Resource Control. تسترد الدالة customTemplateFile() القالب بناءً على معرّفه الرقمي وتُرجع المحتوى دون إجراء فحص للتفويض. قد تحتوي ملفات القوالب على قيم حساسة خاصة بالبيئة، مثل سلاسل الاتصال أو رموز API أو بيانات اعتماد السجل.

قم بالتحديث إلى الإصدار 2.33.8.

قم بالتحديث إلى الإصدار 2.39.1.

قم بالترقية إلى إصدار مدعوم.

تجنب تخزين الأسرار في القوالب المخصصة عن طريق نقل قيم التكوين الحساسة إلى متغيرات البيئة أو إلى مخزن أسرار خارجي.

راجع القوالب المخصصة الحالية بحثًا عن الأسرار المضمنة وقم بتغيير أي بيانات اعتماد قد تكون تعرضت للاختراق.