PT-2026-61760
CVE-2026-56835
·
تاريخ النشر
2026-06-18
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
8.3
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات PraisonAI من 3.11.0 إلى 4.6.58
الوصف
يفشل روبوت Slack في PraisonAI في تطبيق سياسات ترخيص المستخدمين والقنوات المُعدة مسبقًا عند معالجة أحداث
app mention. في حين أن معالج الأحداث القياسي message يطبق بشكل صحيح allowed users وallowed channels وunknown user policy، فإن معالج app mention يتجاوز هذه الفحوصات ويستدعي جلسة الوكيل مباشرةً. وهذا يسمح لأي مستخدم Slack يمكنه ذكر الروبوت في قناة يتواجد فيها التطبيق بتشغيل الوكيل، حتى لو لم يكن مخولًا. يحدث هذا لأن app mention يُعامل كنوع حدث متميز عن أحداث message.*. يمكن للمهاجم استغلال هذا الأمر لإرسال مطالبات عشوائية إلى الوكيل، مما قد يؤثر على سرية وسلامة النشر اعتمادًا على الأدوات التي يمكن للوكيل الوصول إليها.التوصيات
بالنسبة للإصدارات من 3.11.0 إلى 4.6.58، قم بتنفيذ فحص مسبق مشترك للتفويض لجميع مسارات الدخول إلى Slack. وينبغي أن يشمل ذلك تحويل أحداث
app mention باستخدام convert event to message() وتطبيق نفس عمليات التحقق is channel allowed() وis user allowed() وUnknownUserHandler.handle() المستخدمة في معالج message قبل استدعاء جلسة الوكيل. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾