PT-2026-52985 · Kestra · Kestra
CVSS v3.1
6.5
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Kestra الأقدم من 1.0.45
إصدارات Kestra الأقدم من 1.3.21
الوصف
توجد ثغرة في التحكم في الوصول في نقطة النهاية
previewFileFromExecution (GET ’/api/v1/{tenant}/executions/{executionId}/file/preview‘). تسمح هذه المشكلة للمستخدم المصادق عليه بقراءة ملفات الإخراج من أي عملية تنفيذ أخرى ضمن نفس المستأجر، مما يؤدي فعليًّا إلى تجاوز العزل على مستوى مساحة الاسم ومستوى التنفيذ. يُعد هذا ثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR)، والتي تحدث عندما يوفر التطبيق وصولاً مباشرًا إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم.التوصيات
التحديث إلى الإصدار 1.0.45.
التحديث إلى الإصدار 1.3.21.
استغلال
إصلاح
Incorrect Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Kestra