CVE-2026-69110

إصدارات OpenCode Studio الأقدم من 2.4.4

يؤدي عدم وجود إجراءات المصادقة إلى تمكين المهاجمين عن بُعد من قراءة ملفات عشوائية داخل الدلائل «temp» و«static/music». ويتم ذلك عن طريق الوصول إلى نقاط النهاية ’GET /api/tmp/:tmpFile‘ و'GET /api/music/:fileName'، مما يتيح استرداد ملفات الصوت والفيديو المؤقتة والترجمات الخاصة بمستخدمين آخرين. بالإضافة إلى ذلك، يمكن للمهاجمين حذف مقاطع الفيديو باستخدام معرّفها (ID) عبر نقطة النهاية ’DELETE /api/short-video/:videoId‘. وتشمل المتغيرات المعرضة للخطر tmpFile وfileName وvideoId.

التحديث إلى الإصدار 2.4.4 أو أحدث.

تقييد الوصول إلى نقاط النهاية ’GET /api/tmp/:tmpFile‘ و'GET /api/music/:fileName' و'DELETE /api/short-video/:videoId' كإجراء تخفيفي مؤقت.