PT-2026-55935
CVE-2026-54893
·
تاريخ النشر
2026-07-06
·
تاريخ التحديث
2026-10-16
الوصف من
CVSS 4.0
2.1
منخفضةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Swoosh من 1.12.0 إلى 1.26.2
الوصف
يوجد ثغرة حقن مسار URL في محول Microsoft Graph الخاص بـ Swoosh. يقوم المكون
Swoosh.Adapters.MsGraph بإنشاء عنوان URL لطلب واجهة برمجة تطبيقات Microsoft Graph عن طريق إدراج عنوان البريد الإلكتروني للمرسل في المسار /users/{from}/sendMail دون التحقق من صحته أو ترميزه بنسبة مئوية. في التطبيقات التي يُشتق فيها عنوان «from» من مدخلات غير موثوق بها أو متأثرة بالمستخدم، يمكن للمهاجم استخدام أحرف خاصة بعناوين URL مثل «/» أو «?» أو «#» في الجزء المحلي من العنوان لتجاوز جزء المسار المقصود. وهذا يسمح للمهاجم بإعادة كتابة مسار الطلب وسلسلة الاستعلام، وإعادة توجيه طلب POST المصادق عليه إلى نقاط نهاية Graph أخرى ضمن نطاقات الرمز المميز باستخدام رمز حامل التطبيق.التوصيات
قم بالتحديث إلى الإصدار 1.26.3 أو أحدث.
تحقق من صحة عناوين المرسل التي تحتوي على أحرف خارج مجموعة RFC 5321 المسموح بها، وتحديدًا
/ و? و# و..، أو ارفضها، قبل تمرير البريد الإلكتروني إلى المحول.قم بتعيين
:url ثابت في تكوين المحول لتجاوز إدراج عنوان from في مسار الطلب.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾