PT-2026-49202
CVE-2026-49757
·
تاريخ النشر
2026-06-15
·
تاريخ التحديث
2026-08-25
الوصف من
CVSS 4.0
9.2
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات ash authentication من 0.1.0 إلى 4.13.x
إصدارات ash authentication من 5.0.0-rc.0 إلى 5.0.0-rc.9
الوصف
تسمح ثغرة تجاوز المصادقة عن طريق التزوير بالاستيلاء على حسابات المستخدمين المحليين أثناء تسجيل الدخول عبر OAuth2 أو OIDC. تحدث هذه المشكلة لأن البرنامج يطابق المستخدمين المحليين عن طريق عنوان البريد الإلكتروني بدلاً من استخدام مزيج مطالبات OpenID Connect
iss (المُصدر) وsub (الموضوع)، وهما المعرفان الوحيدان المستقران والفريدان للمستخدم النهائي. يمكن لمهاجم غير مصدق تسجيل حساب لدى مزود OAuth معتمد باستخدام البريد الإلكتروني للضحية — بما في ذلك عناوين البريد الإلكتروني غير المؤكدة أو المعاد استخدامها — للحصول على امتيازات محلية كاملة لحساب الضحية.التوصيات
تحديث الإصدارات من 0.1.0 إلى 4.13.x إلى الإصدار 4.14.0.
تحديث الإصدارات من 5.0.0-rc.0 إلى 5.0.0-rc.9 إلى الإصدار 5.0.0-rc.10.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾