PT-2026-70121
CVE-2026-72546
·
تاريخ النشر
2026-08-11
·
تاريخ التحديث
2026-08-11
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Attendize السابقة لـ commit 9289acb
الوصف
تحدث ثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) عندما يتيح أحد التطبيقات الوصول المباشر إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم. في هذه الحالة، يمكن لأي منظم فعاليات تمت مصادقته إدخال أسماء الحاضرين والطلبات في فعاليات تابعة لحسابات أخرى من خلال نقطة النهاية «postInviteAttendee». تنشأ المشكلة لأن نقطة النهاية تقوم بتحميل الحدث المستهدف حسب المعرّف (ID) دون تقييد نطاق الاستعلام بحساب المنظم المصادق عليه، مما يسمح للمهاجم بتعديل بيانات الحدث والسجلات المالية عبر حدود الحسابات.
التوصيات
تحديث Attendize إلى إصدار يتضمن الالتزام 9289acb أو أحدث.
تقييد الوصول إلى نقطة النهاية «postInviteAttendee» لضمان أن المستخدمين لا يمكنهم تعديل سوى الأحداث المرتبطة بحساباتهم الخاصة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾