PT-2026-77268
CVE-2026-65959
·
تاريخ النشر
2026-08-18
·
تاريخ التحديث
2026-09-21
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Vitess الأقدم من 24.0.3
الوصف
تقوم نقطة النهاية
/debug/vrlog، المسجلة بواسطة الدالة addHttpEndpoint() في go/vt/vttablet/tabletmanager/vreplication/vrlog.go، باستدعاء vrlogStatsHandler() دون إجراء فحص الوصول المطلوب عبر acl.CheckAccessHTTP(r, acl.DEBUGGING). وهذا يسمح للمتصل عن بُعد الذي لديه وصول إلى منفذ HTTP الخاص بتصحيح أخطاء vttablet بتجاوز سياسات الأمان وبث بيانات VrLogStats التي تم إنشاؤها بواسطة NewVrLogStats().Send(). قد تتضمن هذه البيانات عبارات SQL حرفية وقيم تطبيق مرتبطة بسير عمل MoveTables و Reshard و Materialize و vitess-strategy Online DDL.التوصيات
قم بتحديث Vitess إلى الإصدار 24.0.3 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد الوصول عبر الشبكة إلى منفذ HTTP الخاص بتصحيح أخطاء vttablet لمنع المتصلين عن بُعد غير المصرح لهم من الوصول إلى نقطة النهاية
/debug/vrlog. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾