PT-2026-70122
CVE-2026-72547
·
تاريخ النشر
2026-08-11
·
تاريخ التحديث
2026-08-11
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Attendize السابقة لـ commit 9289acb
الوصف
تحدث ثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) عندما يتيح أحد التطبيقات الوصول المباشر إلى الكائنات بناءً على المدخلات التي يقدمها المستخدم. في هذه الحالة، يمكن لأي منظم فعاليات تمت مصادقته استيراد الحاضرين بشكل جماعي إلى فعاليات تابعة لحسابات أخرى من خلال نقطة النهاية «postImportAttendee». يقوم النظام بتحميل الحدث المستهدف حسب المعرّف (ID) دون التحقق مما إذا كان حساب منظم الحدث الطالب يمتلك هذا الحدث، مما يسمح للمهاجم بإدخال بيانات الحضور بالجملة إلى أي حدث بغض النظر عن حدود الحساب.
التوصيات
تحديث Attendize إلى إصدار يتضمن الالتزام 9289acb أو أحدث.
تقييد الوصول إلى نقطة النهاية «postImportAttendee» لضمان إجراء التحقق من الملكية قبل معالجة عمليات الاستيراد.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾