PT-2026-65767
CVE-2026-59243
·
تاريخ النشر
2026-03-18
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات apache-airflow-providers-fab الأقدم من 3.7.3
الوصف
فشلت عملية تسجيل الدخول عبر OAuth لـ Azure AD في مدير المصادقة FAB في التحقق من توقيع رمز الهوية (ID token) بشكل افتراضي، حيث تم تعيين المتغير
verify signature على القيمة False. وهذا يسمح للمهاجم بتجاوز المصادقة وتسجيل الدخول كأي مستخدم، بما في ذلك أولئك الذين يتمتعون بامتيازات المسؤول، عن طريق تقديم رمز تعريف مزور أو غير موقّع (باستخدام alg:none) إلى استدعاء OAuth.التوصيات
الترقية إلى الإصدار 3.7.3.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾