PT-2026-51579 · Daytona · Daytona
CVSS v3.1
8.4
عالية
| المتجه | AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:L |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Daytona الأقدم من 0.184.0
الوصف
يمكن للمستخدمين قبول أو رفض دعوات الانضمام إلى المنظمة باستخدام عنوان بريد إلكتروني مطابق للدعوة لم يتم التحقق منه. على الرغم من أن النظام يستخدم OIDC (OpenID Connect، وهي طبقة هوية فوق بروتوكول OAuth 2.0) لمطابقة البريد الإلكتروني المستهدف للدعوة مع الرمز المميز للمتصل، إلا أن مسارات قبول الدعوات ورفضها لم تفرض التحقق من البريد الإلكتروني. وهذا يسمح لمهاجم يستخدم مزود هوية يسمح بالتسجيل الذاتي ويصدر جلسات قبل التحقق، بتسجيل عنوان بريد إلكتروني مطابق لدعوة معلقة والانضمام إلى المؤسسة المستهدفة بالدور المخصص، والذي قد يصل إلى مستوى «المالك».
التوصيات
التحديث إلى الإصدار 0.184.0.
استغلال
إصلاح
Incorrect Authorization
Improper Authentication
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Daytona