PT-2026-50522
CVE-2026-55197
·
تاريخ النشر
2026-06-17
·
تاريخ التحديث
2026-09-17
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Hermes WebUI الأقدم من 0.51.443
الوصف
يؤدي خلل في التحكم في الوصول في نقطة النهاية ’/api/session‘ إلى السماح للمستخدمين المصادق عليهم بالكشف عن نصوص جلسات عبر ملفات التعريف. من خلال الاستعلام المباشر عن معرّفات الجلسات التابعة لملفات تعريف أخرى باستخدام طلب GET ’/api/session?session id=&messages=1‘، يمكن للمهاجمين تجاوز فحوصات حدود ملفات التعريف لاسترداد نصوص المحادثات والبيانات الوصفية غير المصرح بها عبر المتغير
session id.التوصيات
قم بالتحديث إلى الإصدار 0.51.443 أو أحدث.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية ’/api/session‘ لتقليل مخاطر الكشف غير المصرح به عن البيانات.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾