PT-2026-60091
CVE-2026-52824
·
تاريخ النشر
2026-07-14
·
تاريخ التحديث
2026-09-16
الوصف من
CVSS 4.0
9.1
حرجةالمقاييسAV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Kimai الأقدم من 2.58.0
الوصف
تتضمن صورة Docker الرسمية متغير بيئة افتراضيًا هو
APP SECRET مضبوطًا على قيمة معروفة للجميع. ونظرًا لأن نقطة الدخول في Docker لا تتحقق من صحة هذه القيمة أو تتجاوزها، فإن المثيلات التي يتم نشرها دون استخدام APP SECRET مخصص تستخدم قيمة kernel.secret المعروفة في Symfony. وهذا يسمح لمهاجم غير مصدق عليه بتزوير ملفات تعريف الارتباط الموقعة بـ HMAC، وروابط تسجيل الدخول، وعناوين URL لإعادة تعيين كلمة المرور، ورموز CSRF. من خلال تخمين معرّف المستخدم ومعرفة اسم المستخدم، يمكن للمهاجم الاستيلاء على أي حساب، بما في ذلك حساب super admin، شريطة ألا تكون المصادقة الثنائية ممكّنة في الحساب.التوصيات
قم بالتحديث إلى الإصدار 2.58.0.
كإجراء تخفيفي مؤقت، قم بتعيين قيمة فريدة وعشوائية بشكل صريح لمتغير البيئة
APP SECRET في تكوين Docker. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾