CVE-2026-72575

إصدارات daptin الأقدم من 0.12.35

تسمح مشكلة تتعلق بالتفويض غير السليم للمهاجمين عن بُعد غير المصادق عليهم بتنفيذ عمليات القراءة والإنشاء والتحديث والحذف على سجلات مجموعات المستخدمين. توجد الثغرة في ملف server/permission/permission.go ضمن وظائف التحقق من الأذونات CanRead() وCanPeek() وCanCreate() وCanUpdate() وCanDelete() وCanRefer(). تُرجع هذه الوظائف القيمة ”true“ عندما يتطابق p.UserId مع userId الطالب، لكنها تفشل في رفض المراجع الفارغة أو التي تساوي صفرًا. ونظرًا لأن صفوف جدول مجموعات المستخدمين تفتقر إلى user account id ويتم تحميلها بمالك null، يُمنح الضيف غير المصادق عليه الذي يمتلك UserId جلسة عمل null حق الوصول الكامل CRUD (إنشاء، قراءة، تحديث، حذف) إلى جميع كائنات مجموعات المستخدمين.

تحديث daptin إلى الإصدار 0.12.35 أو أحدث.