PT-2026-73158
CVE-2026-74790
·
تاريخ النشر
2026-03-24
·
تاريخ التحديث
2026-08-17
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Scriban الأقدم من 7.0.0
الوصف
يقوم Scriban بتخزين كائن TypedObjectAccessor مؤقتًا استنادًا إلى النوع فقط، متجاهلًا التغييرات التي تم إجراؤها على MemberFilter. ويسمح هذا السلوك لمثيلات TemplateContext المعاد استخدامها بكشف العناصر التي كان من المفترض إخفاؤها. يمكن للمهاجم تجاوز سياسات بيئة الحماية عبر الطلبات أو المستأجرين المختلفين عن طريق إعادة استخدام TemplateContext بعد تشديد MemberFilter الخاص به، وبالتالي الحصول على حق الوصول إلى الخصائص والحقول التي تمت تصفيتها.
التوصيات
قم بالتحديث إلى الإصدار 7.0.0 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾