PT-2026-41735
CVE-2026-8851
·
تاريخ النشر
2026-04-20
·
تاريخ التحديث
2026-10-01
الوصف من
CVSS 4.0
8.6
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
SOGo الإصدار 5.12.7
الوصف
تسمح ثغرة في وظيفة إدارة قائمة التحكم في الوصول (ACL) للمستخدمين المصادق عليهم باستخراج بيانات عشوائية من قاعدة البيانات. ويتم ذلك عن طريق حقن استعلامات فرعية بلغة SQL عبر المعلمة
uid في نقطة النهاية ”/addUserInAcls“. يمكن للمهاجمين استخدام تعليمات برمجية SQL ضارة لكتابة البيانات المستخرجة في الجدول sogo acl ثم استرجاعها لاحقًا عبر واجهة برمجة التطبيقات (API) ”/acls“، مما يؤدي إلى إنشاء قناة لتسريب البيانات خارج النطاق.التوصيات
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية ”/addUserInAcls“ أو تجنب استخدام المعلمة
uid حتى يتوفر إصلاح.في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾