PT-2026-45838
CVE-2026-48595
·
تاريخ النشر
2026-06-02
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
tesla من الإصدار 1.4.0 حتى 1.18.2
الوصف
يؤدي التعامل غير السليم مع التمييز بين الأحرف الكبيرة والصغيرة في
Tesla.Middleware.FollowRedirects إلى تسرب بيانات الاعتماد إلى مصادر خارجية في عمليات إعادة التوجيه عبر المصادر. تحاول البرمجيات الوسيطة إزالة الرؤوس الحساسة من خلال مقارنتها بقائمة مرشحات مكتوبة بأحرف صغيرة تحتوي على authorization وhost. ومع ذلك، نظرًا لأن Tesla يحتفظ بمفاتيح الرؤوس تمامًا كما قدمها المستدعي، دون أي توحيد، فإن الرؤوس التي تستخدم الكتابة الكبيرة القياسية، مثل Authorization، لا تتطابق مع المرشح المكتوب بأحرف صغيرة ويتم توجيهها إلى وجهة إعادة التوجيه. يمكن للمهاجم الذي يستطيع التحكم في استجابة Location: — سواء من خلال نقطة نهاية خاصة به، أو مصدر إعادة توجيه مفتوح، أو مصدر مخترق — التقاط رموز حامل (token) أو مواد ترخيص أخرى. يحدث هذا عندما تستخدم التطبيق Tesla.Middleware.FollowRedirects وتقوم بتعيين رؤوس تحتوي على مفاتيح غير مكتوبة بأحرف صغيرة.التوصيات
قم بتحديث Tesla إلى الإصدار 1.18.3.
كحل مؤقت، قم بتوحيد جميع مفاتيح الرؤوس إلى أحرف صغيرة قبل تمريرها إلى Tesla، وتحديدًا باستخدام
authorization بدلاً من Authorization عند تعريف الرؤوس عبر Tesla.put header/3 أو Tesla.Middleware.Headers. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾