CVE-2026-71214

Aerie/PlanDev sequencing-server (لم يتم تحديد الإصدارات المتأثرة)

تستخدم البرمجيات الوسيطة الخاصة بالتفويض الموجودة في sequencing-server/src/app.ts الدالة getHasuraSession() لتحديد دور جلسة عمل المتصل. تعطي هذه الدالة الأولوية لكائن session variables المقدم في نص طلب JSON الخاص بالعميل على مطالبات JWT الموجودة في رأس التفويض (Authorization)، دون التحقق مما إذا كان الطلب قد صدر من Hasura أم لا. يمكن لمهاجم غير مصدق تجاوزه عمليات التحقق من الدور عن طريق تضمين {”session variables“:{”x-hasura-role“:”aerie admin“}} في نص الطلب الموجه إلى نقطة النهاية ’POST /command-expansion/put-expansion‘، مما يسمح بإدراج قواعد توسيع تعسفية في sequencing.expansion rule. بالإضافة إلى ذلك، فإن نقطة النهاية ’POST /put-dictionary‘ مدرجة في ENDPOINTS WHITELIST ولا تتطلب مصادقة، مما يتيح عمليات الكتابة غير المصادق عليها في قواميس الأوامر.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.