PT-2026-46318
CVE-2026-41522
·
تاريخ النشر
2026-06-04
·
تاريخ التحديث
2026-06-04
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات DFIR-IRIS الأقدم من 2.4.28
الوصف
لا تفرض نقطة نهاية GraphQL الاختيارية الموجودة على ”/graphql“ نفس إجراءات التحقق من التفويض التي تفرضها واجهة برمجة التطبيقات REST. وهذا يسمح لأي مستخدم تمت مصادقته، بغض النظر عن دوره أو قائمة التحكم في الوصول (ACL) الخاصة بحالته، بتنفيذ إجراءات غير مصرح بها. وتشمل هذه الإجراءات قراءة مؤشرات الاختراق (IOC) عبر حالات مختلفة عبر «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR)، والكشف الجماعي عن مؤشرات الاختراق من خلال مُحلل
case.iocs — الذي يُرجع مؤشرات الاختراق المرتبطة بحالة عشوائية دون التحقق من الوصول — وإنشاء حالات غير مصرح بها.التوصيات
قم بالتحديث إلى الإصدار 2.4.28.
حظر نقطة النهاية ”/graphql“ في الوكيل العكسي.
تعليق استيراد
graphql blueprint واستدعاء register blueprint في source/app/views.py وإعادة تشغيل الخدمة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾