PT-2026-79439
CVE-2026-76876
·
تاريخ النشر
2026-08-21
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Craftplan الأقدم من 0.5.1
الوصف
تسمح ثغرة في التحكم في الوصول للمهاجمين غير المصادق عليهم بقراءة بيانات الاعتماد الحساسة من خلال استغلال سياسة تفويض غير مشروطة على مورد «الإعدادات». من خلال إرسال طلب GET إلى نقطة نهاية واجهة برمجة تطبيقات (API) الإعدادات باستخدام معرّف سجل صالح، يمكن للمهاجمين استرداد كلمات مرور SMTP المفكوك تشفيرها، ومفاتيح واجهة برمجة تطبيقات البريد الإلكتروني، وأسرار واجهة برمجة تطبيقات البريد الإلكتروني. يحدث هذا لأن سياسة القراءة تستخدم فحص تفويضًا من نوع «السماح دائمًا» يتجاوز جميع إجراءات التحقق من الهوية.
التوصيات
تحديث Craftplan إلى الإصدار 0.5.1 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾