PT-2026-51070
CVE-2026-54773
·
تاريخ النشر
2026-06-19
·
تاريخ التحديث
2026-07-10
الوصف من
CVSS 3.1
5.9
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات CoreWCF الأقدم من 1.8.1
إصدارات CoreWCF الأقدم من 1.9.1
الوصف
يقوم التحقق من التوقيع في WS-Security بإجراء بحث عن
ds:Signature على مستوى المستند بأكمله. يمكن لمهاجم بعيد غير مصدق عليه وضع رأس SOAP قبل wsse:Security وتضمين ds:Signature من اختياره، مما يتسبب في قيام الدالة WSSecurityOneDotZeroReceiveSecurityHeader بالتحقق من التوقيع المقدم من المهاجم بدلاً من توقيع رأس الأمان. يتطلب استغلال هذه الثغرة أن تكون نقطة النهاية مكونة بربط رمز دعم معتمد، وأن يقوم المهاجم بإنشاء ds:Signature التي يُحل KeyInfo الخاص بها من خلال مُحلل الرموز على جانب الاستقبال إلى مفتاح يخضع لسيطرة المهاجم.التوصيات
التحديث إلى الإصدار 1.8.1.
التحديث إلى الإصدار 1.9.1.
استخدام مُحلل الرموز الأمنية الذي يقبل فقط الإشارات إلى سلاسل X.509 المثبتة من قبل المُصدر.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾