PT-2026-63438
CVE-2026-65013
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-09-17
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Onlook الأقدم من 0.2.32
الوصف
توجد ثغرة تسمح للمهاجمين الذين قاموا بتوثيق هويتهم بالوصول إلى الموارد الخاصة بمستخدمين آخرين والتلاعب بها. ويحدث ذلك لأن إجراءات واجهة برمجة التطبيقات (API) tRPC التالية:
project.get وmember.remove وchat.conversation.delete لا تتحقق بشكل صحيح من صحة التفويض عند تقديم قيم UUID عشوائية. من خلال توفير متغيرات projectId أو conversationId غير مصرح بها، يمكن للمهاجم قراءة بيانات المشروع والأعضاء وسجل المحادثات وتعديلها وحذفها.التوصيات
قم بالتحديث إلى الإصدار الذي يحتوي على الالتزام 423e2e9.
قم بتقييد استخدام متغيرات
projectId وconversationId في إجراءات واجهة برمجة تطبيقات tRPC المتأثرة حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾