PT-2026-43399
CVE-2026-44443
·
تاريخ النشر
2026-05-26
·
تاريخ التحديث
2026-07-20
الوصف من
CVSS 3.1
4.8
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Lumiverse الأقدم من 0.9.7
الوصف
تتحقق الدالة
consumeNonce() فقط من أن متغيرًا على مستوى الوحدة النمطية قد تم تعيينه ولم تنته صلاحيته، دون التحقق من صحة القيم الواردة من طلب HTTP أو ربط الرقم العشوائي بجلسة عمل المسؤول. إذا فشل استدعاء auth.api.signUpEmail() قبل تنفيذ الخطاف before — مثلما يحدث عندما يرفض BetterAuth بريدًا إلكترونيًا مكررًا — يظل الرقم العشوائي معينًا ولكن لا يتم استهلاكه. وهذا يسمح لأي طلب POST موجه إلى نقطة النهاية ’/api/auth/sign-up/email‘ يصل خلال فترة 10 ثوانٍ بالتسجيل بنجاح، بغض النظر عن المرسل. يمكن للمهاجم القادر على توقع أو ملاحظة الوقت الذي يحاول فيه المسؤول إنشاء مستخدم مكرر استغلال حالة التنافس هذه لتسجيل حساب غير مصرح به.التوصيات
قم بالتحديث إلى الإصدار 0.9.7.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾