PT-2026-51009
CVE-2026-49339
·
تاريخ النشر
2026-06-19
·
تاريخ التحديث
2026-07-30
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات gonic الأقدم من 0.21.0
الوصف
يمكن لمستخدم Subsonic المصادق عليه تجاوز عمليات التحقق من الملكية لقراءة أو حذف قوائم التشغيل الخاصة بمستخدمين آخرين، واستكشاف مسارات ملفات عشوائية على المضيف للتحقق من وجودها أو إمكانية قراءتها. يحدث هذا لأن
playlist.UserID مشتق من الجزء الأول من مسار معرف قائمة التشغيل، ولكن لا يوجد احتواء للمسار في مسار الملف الذي تم تحليله. تتضمن المشكلة اجتياز المسار داخل المعلمة id، مما يسمح بتجاوز الحدود المقصودة لمنع الإشارات المباشرة غير الآمنة إلى الكائنات (IDOR)، وهي ثغرة أمنية تتيح للتطبيق الوصول المباشر إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم.التوصيات
التحديث إلى الإصدار 0.21.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾