PT-2026-51451
CVE-2026-49229
·
تاريخ النشر
2026-06-22
·
تاريخ التحديث
2026-07-09
الوصف من
CVSS 3.1
8.3
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
الإصدارات الفعلية السابقة للإصدار 26.6.0
الوصف
في وضع OpenID متعدد المستخدمين، يؤدي تعطيل مستخدم ما إلى منع عمليات تسجيل الدخول المستقبلية عبر OpenID لتلك الهوية فقط. تظل رموز الجلسة الحالية صالحة لأن مسار التحقق من صحة الجلسة المشتركة لا يتحقق مما إذا كان المستخدم المرتبط لا يزال نشطًا أم لا. وهذا يسمح للمستخدم المعطل بمواصلة الوصول إلى نقاط نهاية الخادم المصادق عليها. وتستمر هذه المشكلة بشكل خاص في عمليات النشر الافتراضية حيث يتم تعيين المتغير
token expiration على never. يمكن للمستخدم المعطل الاحتفاظ بالوصول إلى ميزانياته الخاصة، أو الميزانيات المشتركة التي تحتوي على بيانات مالية حساسة، أو حتى الامتيازات الإدارية إذا كان الحساب المعطل يتمتع بدور إداري. تتعلق هذه الثغرة الأمنية بوظيفة validateSession() وتؤثر على نقاط النهاية المحمية بواسطة validateSessionMiddleware، مثل واجهة برمجة التطبيقات (API) للمزامنة ومسار التحديث /users عبر المتغير enabled.التوصيات
قم بتحديث Actual إلى الإصدار 26.6.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾