PT-2026-45068

CVE-2026-48169

تاريخ النشر

2026-05-29

تاريخ التحديث

2026-10-23

الوصف من

CVSS 3.1

8.8

عالية

المقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

اسم البرنامج المعرض للخطر والإصدارات المتأثرة

منصة PraisonAI (لم يتم تحديد الإصدارات المتأثرة)

الوصف

تحتوي واجهة برمجة تطبيقات (API) منصة PraisonAI على ثغرات في عملية المصادقة تؤدي إلى خرق عزل مساحة العمل. تقوم طبقة الخدمة الخاصة بالمشكلات والمشاريع بإجراء عمليات بحث شاملة عن المفتاح الأساسي دون التحقق من ملكية مساحة العمل، مما يسمح لأي مستخدم تمت مصادقته بقراءة الموارد أو تعديلها أو حذفها في أي مساحة عمل عن طريق التلاعب بمعرفات UUID في طلبات واجهة برمجة التطبيقات. بالإضافة إلى ذلك، لا تتطلب نقاط نهاية إدارة الأعضاء سوى دور «member»، مما يمكّن أي عضو في مساحة العمل من ترقية نفسه إلى دور «owner» وإزالة المالك الأصلي.

تشمل التفاصيل الفنية ما يلي:

نقاط نهاية واجهة برمجة التطبيقات (API): /api/v1/workspaces/{workspace id}/issues/{issue id} و /api/v1/workspaces/{workspace id}/projects/{project id} معرضتان لثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) لأن طبقة الخدمة تتجاهل workspace id المقدم في عنوان URL.
المعلمات المعرضة للخطر: تُستخدم المتغيرات issue id وproject id في عمليات البحث الشاملة دون تحديد نطاق مساحة العمل.
أسماء الوظائف: تفشل الوظائف IssueService.get() وIssueService.update() وIssueService.delete() وProjectService.get() وProjectService.update() وProjectService.delete() وProjectService.get stats() في فرض حدود مساحة العمل. علاوة على ذلك، تفتقر الدالتان update member role() وremove member() في مسارات مساحة العمل إلى عمليات التحقق المناسبة من التسلسل الهرمي للأدوار.