PT-2026-67341
CVE-2026-69082
·
تاريخ النشر
2026-08-03
·
تاريخ التحديث
2026-08-03
الوصف من
CVSS 4.0
8.8
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:L/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
CTI-Transmute (لم يتم تحديد الإصدارات المتأثرة)
الوصف
توجد مشكلة تزوير الطلبات عبر المواقع في وظيفة حذف المستخدم الإداري. كانت نقطة النهاية ’/account/delete/‘ تقبل طلبات HTTP GET للعمليات التي تُعدّل حالة التطبيق. يمكن لمهاجم بعيد غير مصدق عليه أن يحث مسؤولاً مصدقاً عليه ولديه جلسة عمل نشطة على زيارة رابط ضار، مما يتسبب في قيام المتصفح تلقائياً بتضمين بيانات اعتماد الجلسة وحذف حساب المستخدم المحدد دون تأكيد. قد يؤدي ذلك إلى الحذف غير المصرح به لحسابات مستخدمين عشوائية، مما ينتج عنه حرمان المستخدمين من الوصول أو تعطيل إدارة المثيل. يعتمد الاستغلال على المتغير
id لتحديد الحساب المستهدف.التوصيات
تقييد نقطة النهاية ’/account/delete/‘ لطلبات HTTP POST فقط وتطبيق رمز CSRF داخل نموذج الحذف.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾