PT-2026-69831
CVE-2026-72690
·
تاريخ النشر
2026-08-10
·
تاريخ التحديث
2026-08-10
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
Attendize الإصدارات السابقة للـ commit 9289acb
الوصف
تسمح ثغرة في التصريح غير الصحيح لمهاجم عن بُعد مصرح له بحقن أسئلة استطلاع إلزامية ودائمة في فعاليات يديرها منظمون آخرون. يحدث هذا لأن الدالة
postCreateEventQuestion() تقوم بتحميل الفعالية المستهدفة دون تطبيق نطاق عزل المستأجر (tenant-isolation)، مما يسمح بالكتابة عبر المستأجرين من خلال نقطة النهاية 'POST /event/{event id}/question/create'. ونتيجة لذلك، لا يمكن للضحية إزالة الأسئلة المحقونة لأن مسار الحذف المرتبط بالحساب لا يمكنه تحديد الأسئلة المملوكة لمستأجر آخر.التوصيات
تحديث Attendize إلى إصدار يتضمن الـ commit 9289acb أو إصدار أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾