PT-2026-71083
CVE-2026-73405
·
تاريخ النشر
2026-08-12
·
تاريخ التحديث
2026-08-12
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
Vulnerability-Lookup (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يوجد ثغرة في تجاوز التفويض بسبب عدم الاتساق في التطبيق بين واجهة برمجة التطبيقات REST وواجهة البث Server-Sent Events (SSE). تستخدم واجهة Pub/Sub زخرفة
token required التي تقوم بمصادقة الطلبات من خلال مطابقة رأس X-API-KEY مع مفتاح API الخاص بالمستخدم، لكنها تفشل في التحقق مما إذا كان الحساب نشطًا أو مؤكدًا. ونظرًا لأن مفاتيح واجهة برمجة التطبيقات (API) تُصدر أثناء التسجيل الذاتي قبل اكتمال عملية التأكيد، يمكن للمستخدمين غير المصرح لهم الوصول إلى نقطة النهاية /pubsub/subscribe/<topic>. وهذا يسمح بالوصول إلى أحداث البث، مثل التعليقات غير الخاضعة للإشراف، والتي تكون مقيدة بخلاف ذلك عبر واجهة برمجة التطبيقات (REST API).التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾