PT-2026-69101
CVE-2026-70561
·
تاريخ النشر
2026-08-07
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات TestLink الأقدم من 1.9.21
الوصف
توجد ثغرة أمنية تُعرف بـ «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR)، حيث يمكن للمستخدمين المصادق عليهم، بما في ذلك أصحاب حسابات الضيوف ذات الامتيازات المحدودة، قراءة المرفقات التعسفية. ومن خلال تزويد نقطة النهاية «attachmentdownload.php» بمعرّف مرفق صحيح، يمكن للمهاجم تجاوز عمليات التحقق من أذونات المشروع والدور. وهذا يسمح بتعداد المعرّفات المتسلسلة لاسترداد الملفات الحساسة، مثل مواصفات الاختبار ووثائق المتطلبات وأدلة التنفيذ، من المشاريع الخاصة بغض النظر عن عضوية المستخدم.
التوصيات
تحديث TestLink إلى إصدار أحدث من 1.9.20.
كإجراء تخفيفي مؤقت، تقييد الوصول إلى معالج «attachmentdownload.php».
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾