PT-2026-60649
CVE-2026-62241
·
تاريخ النشر
2026-07-17
·
تاريخ التحديث
2026-08-14
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
خادم واجهة برمجة التطبيقات (API) المستضاف ذاتيًا لـ clawvet (apps/api) الإصدارات الأقدم من 0.7.5
الوصف
يحتوي البرنامج على سر JWT (JSON Web Token) احتياطي مرمز في ملف
auth.ts، ويتم توفيره بشكل افتراضي في ملف .env.example. يمكن لمهاجم عن بُعد غير مصدق عليه استغلال هذه الثغرة من خلال الوصول أولاً إلى نقطة النهاية ’GET /api/v1/scans‘ لجمع قيم userId. وباستخدام الرمز السري المعروف، يمكن للمهاجم تزوير ملف تعريف ارتباط cg session HS256 صالح في وضع عدم الاتصال بالإنترنت، ثم استدعاء نقطة النهاية ’GET /api/v1/auth/me‘ لاسترداد عنوان البريد الإلكتروني وخطة الاشتراك وapiKey السري الخاص بالضحية.التوصيات
قم بتحديث خادم واجهة برمجة التطبيقات (API) المستضاف ذاتيًا لـ clawvet (apps/api) إلى الإصدار 0.7.5 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾