CVE-2026-54635

إصدارات pytonapi من 2.0.0 إلى 2.2.0

يفشل TonapiWebhookDispatcher في التحقق من صحة رأس Authorization عند تسجيل معالج webhook باستخدام الحجة path. أثناء عملية setup()، يتم تخزين الرموز المميزة (bearer tokens) فقط تحت مسارات اللاحقة الافتراضية، مما يعني أن المسارات المخصصة لا تُضاف أبدًا إلى خريطة الرموز المميزة. ونتيجة لذلك، عند إرسال طلب إلى مسار مخصص، يتم تخطي حارس المصادقة (authentication guard) بسبب عدم العثور على الرمز المميز المتوقع. وهذا يسمح لمهاجم بعيد غير مصدق بإرسال حمولات مزورة إلى نقطة نهاية الويب هوك المخصصة وتشغيل معالجات محددة من قبل الضحية، مما قد يؤثر على سلامة منطق الأعمال مثل معالجة المدفوعات أو تحديثات حالة الحساب.

قم بتحديث pytonapi إلى الإصدار 2.2.1.

كحل مؤقت، تجنب استخدام الحجة path عند تسجيل معالجات الويب هوك حتى يتم تطبيق التحديث.