PT-2026-79458
CVE-2026-62283
·
تاريخ النشر
2026-06-26
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Nezha Monitoring من الإصدار 1.14.13 إلى 1.14.14
Nezha Monitoring من الإصدار 2.0.0 إلى 2.0.9
الوصف
يفشل Nezha Monitoring في ربط معرّفات التدفق التي تم إنشاؤها بواسطة الدالة
CreateStream في service/rpc/io stream.go بالمستخدم الذي أنشأها. ونتيجة لذلك، فإن نقاط النهاية ’GET /ws/terminal/:id‘ و'GET /ws/file/:id' تتحقق فقط من وجود معرّف UUID المقدم دون فرض ملكية المستخدم أو تفويضه. يمكن لعضو دور (RoleMember) تمت مصادقته، والذي يحصل على معرّف UUID لتيار مباشر من خلال السجلات أو سجل تصفح المتصفح أو بيانات المرجع أو القياس عن بُعد، أن يختطف جلسة عمل جهاز المستخدم أو مدير الملفات الخاص بمستخدم آخر. وهذا يسمح للمهاجم بقراءة وكتابة الملفات على الخادم المستهدف وتنفيذ أوامر شل تعسفية.التوصيات
قم بتحديث إصدارات Nezha Monitoring من 1.14.13 إلى 1.14.14 إلى الإصدار 2.0.10.
قم بتحديث إصدارات Nezha Monitoring من 2.0.0 إلى 2.0.9 إلى الإصدار 2.0.10.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾