PT-2026-45493
CVE-2026-48119
·
تاريخ النشر
2026-06-01
·
تاريخ التحديث
2026-09-04
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Nezha Monitoring من 0.20.0 إلى 2.0.11
الوصف
يمكن للوكلاء المصادق عليهم تزوير نتائج مراقبة الخدمات الخاصة بمستخدمين آخرين. يقبل النظام رسائل
TaskResult الواردة من وكيل مصادق عليه بناءً على وجود معرّف الخدمة المبلغ عنه فقط، دون التحقق مما إذا كان الخادم المبلغ قد تم تخصيصه لتلك الخدمة، أو ينتمي إلى مالك الخدمة، أو تم تفويضه لأداء مهمة المراقبة.يمكن لمستخدم ذي امتيازات منخفضة يمتلك سر وكيل صالح ووكيلًا مسجلاً واحدًا إرسال نتائج مراقبة مزورة لمعرّف خدمة مستخدم آخر. يؤدي هذا إلى تلف سجل خدمة المراقبة وحالتها الحالية عبر المستأجرين. بالإضافة إلى ذلك، يمكن أن يؤدي ذلك إلى إرسال إشعارات خاصة بالخدمة المملوكة للضحية تحتوي على نص يتحكم فيه المهاجم عبر المتغير
data في رسالة TaskResult.تتضمن التفاصيل الفنية عامل مراقبة الخدمة في ملف
service/singleton/servicesentinel.go الذي يفشل في التحقق من صحة Reporter مقابل تغطية الخدمة وملكيتها، على عكس منطق إرسال الرسائل الصادرة.التوصيات
التحديث إلى الإصدار 2.0.12.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾