PT-2026-47345
CVE-2026-39910
·
تاريخ النشر
2026-06-08
·
تاريخ التحديث
2026-08-24
الوصف من
CVSS 4.0
7.7
عاليةالمقاييسAV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
STACKIT IaaS API (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يسمح غياب فحص التفويض للمهاجمين المصادق عليهم وذوي الامتيازات المنخفضة بترقية امتيازاتهم للوصول إلى اختراق كامل للمؤسسة. من خلال استغلال نقطة النهاية «PUT servers service-accounts» غير الخاضعة للتحقق، يمكن للمهاجمين ربط حسابات خدمة ذات امتيازات عالية بأجهزة افتراضية خاضعة لسيطرتهم. وهذا يمكّنهم من الاستعلام عن خدمة بيانات تعريف المثيل (Instance Metadata Service) لاسترداد رموز OAuth2، متجاوزين حدود المستأجرين والحصول على سيطرة غير مصرح بها على بيئة المؤسسة بأكملها.
التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾