PT-2026-68110
CVE-2026-71244
·
تاريخ النشر
2026-08-05
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Paperless-ngx (لم يتم تحديد الإصدارات المتأثرة)
الوصف
توجد مشكلة في الإجراء
MailAccountViewSet.test(). عند استدعاء هذا الإجراء باستخدام معرّف حساب موجود وحقل كلمة مرور مخفي، يعيد النظام استخدام كلمة المرور المخزنة وaccount type وrefresh token وتاريخ انتهاء الصلاحية من ذلك الحساب. ومع ذلك، فإنه يسمح للمتصل بتحديد قيم مختلفة لـimap server وimap port وimap security ضمن نفس الطلب. ونتيجة لذلك، يتم مصادقة اتصال الاختبار على الخادم المحدد من قبل المستدعي باستخدام بيانات الاعتماد الفعلية المخزنة. يمكن للمستخدم الذي يمتلك إذن change mailaccount على مستوى الكائن في الحساب المستهدف إعادة توجيه اتصال الاختبار إلى مضيف IMAP يسيطر عليه المهاجم، مما يؤدي إلى تسرب كلمة مرور IMAP المخزنة أو رمز OAuth.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾