PT-2026-66622
CVE-2026-66420
·
تاريخ النشر
2026-07-30
·
تاريخ التحديث
2026-07-31
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
MeshCentral الإصدار 1.1.21
الوصف
يحدث تجاوز في الحماية من اختطاف WebSocket عبر المواقع عند استخدام شهادات موقعة ذاتيًا. ويرجع السبب في ذلك إلى عودة مبكرة غير مشروطة في الدالة
CheckWebServerOriginName() داخل ملف webserver.js. يمكن للمهاجمين عن بُعد غير المصادق عليهم إنشاء اتصالات WebSocket عبر الأصول إلى أي من نقاط نهاية WebSocket الاثنتي عشرة وإرسال أوامر إجراءات مصممة خصيصًا لاستخراج sessionKey الخاص بالخادم والمستخدم لتوقيع ملفات تعريف الارتباط الخاصة بالجلسة. وهذا يسمح للمهاجمين بتزوير رموز الجلسة كمستخدمين عشوائيين والحصول على التحكم الكامل عن بُعد في جميع الأجهزة المدارة.التوصيات
في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾