PT-2026-56795
CVE-2026-12593
·
تاريخ النشر
2026-07-09
·
تاريخ التحديث
2026-07-10
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
يتعذر تحديد اسم المنتج (لم يتم تحديد الإصدارات المتأثرة)
الوصف
تفشل نقطة نهاية داخلية وغير موثقة لواجهة برمجة تطبيقات (API) لوحة التحكم
POST /api/users/~/{user}/tokens في التحقق مما إذا كان الطلب الخاص بإنشاء رمز API لمستخدم آخر يتمتع بالأذونات اللازمة. يمكن للمهاجم الذي تمت مصادقته عبر OAuth/OIDC، والذي يعرف اسم تسجيل الدخول لمستخدم داخلي يتمتع بامتيازات أكبر، تزوير طلب إنشاء رمز. وهذا يسمح للمهاجم بالمصادقة بصفته ذلك المستخدم، مما قد يتيح له الحصول على امتيازات مسؤول لوحة التحكم (Dashboard) وتنفيذ جميع الإجراءات الإدارية. وعند اقتران ذلك بنقطة ضعف أخرى، قد يؤدي ذلك إلى تنفيذ تعليمات برمجية على النظام المضيف بامتيازات مستخدم نظام التشغيل الذي يقوم بتشغيل خادم لوحة التحكم (Dashboard).التوصيات
في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾