PT-2026-71083 · Unknown · Vulnerability-Lookup
CVSS v4.0
5.3
متوسطة
| المتجه | AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Vulnerability-Lookup (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يوجد ثغرة في تجاوز التفويض بسبب عدم الاتساق في التطبيق بين واجهة برمجة التطبيقات REST وواجهة البث Server-Sent Events (SSE). تستخدم واجهة Pub/Sub زخرفة
token required التي تقوم بمصادقة الطلبات من خلال مطابقة رأس X-API-KEY مع مفتاح API الخاص بالمستخدم، لكنها تفشل في التحقق مما إذا كان الحساب نشطًا أو مؤكدًا. ونظرًا لأن مفاتيح واجهة برمجة التطبيقات (API) تُصدر أثناء التسجيل الذاتي قبل اكتمال عملية التأكيد، يمكن للمستخدمين غير المصرح لهم الوصول إلى نقطة النهاية /pubsub/subscribe/<topic>. وهذا يسمح بالوصول إلى أحداث البث، مثل التعليقات غير الخاضعة للإشراف، والتي تكون مقيدة بخلاف ذلك عبر واجهة برمجة التطبيقات (REST API).التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
استغلال
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Vulnerability-Lookup