PT-2026-76689
CVE-2026-64865
·
تاريخ النشر
2026-08-17
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 4.0
6.0
متوسطةالمقاييسAV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات واجهة برمجة التطبيقات (API) الجديدة التي تسبق الإصدار 1.0.0-rc.16
الوصف
يمكن للمستخدم المصادق عليه تجاوز تطبيق الحصص، مما قد يتسبب في خسائر مالية للمشغلين. تحدث هذه المشكلة عند استخدام طلبات متكررة إلى نقطة النهاية ’PUT /api/user/self‘ لتحديث
language أو sidebar modules، في الوقت الذي تستهلك فيه طلبات الترحيل الحصة في الوقت نفسه. تستدعي الدالة UpdateSelf الموجودة في controller/user.go الدالة User.Update()، مما يؤدي إلى تشغيل updateUserCache لإجراء عملية كتابة كاملة باستخدام RedisHSetObj إلى ذاكرة التخزين المؤقتة user:.Quota. تؤدي هذه العملية إلى الكتابة فوق عمليات الخصم المتزامنة باستخدام HINCRBY (الزيادات/التخفيضات الذرية المستخدمة للفوترة)، مما يسمح للحصة المخزنة مؤقتًا بالبقاء مرتفعة بشكل مصطنع.التوصيات
قم بالترقية إلى الإصدار 1.0.0-rc.16 أو أحدث، وأعد تشغيل مثيلات التطبيق لإزالة مسارات الكود القديمة قيد التنفيذ.
كحل مؤقت، قم بتقييد أو وضع حد أقصى لمعدل طلبات نقطة النهاية ’PUT /api/user/self‘ لمنع التحديثات المتكررة لإعدادات المستخدم أثناء تمكين ذاكرة التخزين المؤقتة للحصة المدعومة بـ Redis.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾