CVE-2026-68746

إصدارات Livebook من 0.19.7 إلى 0.19.8

تسمح مشكلة مفتوحة لم يتم حلها في Livebook لعميل شبكة غير مصدق عليه بالحصول على وصول كامل إلى خادم يفرض المصادقة عبر Livebook Teams. يحدث هذا عندما يقوم وكيل Livebook أو خادم التطبيق بتخزين معرف مجموعة النشر مؤقتًا في ذاكرة التخزين المؤقتة، ويصبح هذا المعرف غير قابل للحل، مثلما يحدث عند حذف المجموعة أثناء انقطاع اتصال الوكيل. تفشل الدالة handle call/3 الموجودة في lib/livebook/hubs/team client.ex في التمييز بين المجموعة غير القابلة للحل والمجموعة التي تم تعطيل فرض الهوية فيها، مما يؤدي إلى قيام النظام بالإبلاغ عن أن فرض الهوية معطل. ونتيجة لذلك، تُرجع الدالة authenticate/3 الموجودة في lib/livebook/zta/livebook teams.ex بيانات تعريف هوية فارغة، والتي تقوم الدالة build current user/3 في LivebookWeb.UserPlug بدمجها في مستخدم جديد يتمتع بحق الوصول الكامل الافتراضي. ثم يتم منح هذا المستخدم حق الوصول بواسطة الدالة authorized?/1 في LivebookWeb.AuthPlug. يمكن للمهاجم استغلال هذه الثغرة لقراءة دفاتر الملاحظات والأسرار، وتنفيذ التعليمات البرمجية على بيئة تشغيل الخادم، وتعطيل العمليات.

تحديث Livebook إلى الإصدار 0.19.9 أو أحدث.