PT-2026-44542
CVE-2026-45342
·
تاريخ النشر
2026-05-28
·
تاريخ التحديث
2026-07-21
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات LinkAce الأقدم من 2.5.6
الوصف
توجد مشكلة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) في طبقة سياسة التفويض، مما يسمح للمستخدمين المصادق عليهم بتعديل الموارد المملوكة لآخرين، بما في ذلك الروابط والقوائم والعلامات والملاحظات. تؤثر هذه الثغرة على كل من واجهة المستخدم على الويب وواجهة برمجة التطبيقات REST. يكمن السبب الجذري في طرق
update() الخاصة بنماذج LinkPolicy وLinkListPolicy وTagPolicy وNotePolicy، والتي تمنح بشكل غير صحيح حق الوصول إلى أي مورد ذي رؤية غير خاصة بغض النظر عن ملكيته. بالإضافة إلى ذلك، تتأثر الدالة AuthorizesUserApiActions::userCanUpdateModel() في طبقة واجهة برمجة التطبيقات (API) وعمليات التحرير الجماعي عبر BulkEditController بنفس الخطأ المنطقي.التوصيات
التحديث إلى الإصدار 2.5.6.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾