CVE-2026-77915

إصدارات rConfig من 8.0.0 إلى 8.2.12

توجد ثغرة تسمح بتجاوز المصادقة بسبب تكرار استدعاء Auth::routes() في ملف routes/web.php، مما يؤدي عن غير قصد إلى إعادة تمكين نقطة النهاية POST /register بعد أن تم تعطيلها. وهذا يسمح للمهاجمين غير المصادق عليهم بتسجيل حسابات بأنفسهم. ونظرًا لأن وحدة التحكم في التسجيل لا تخصص دورًا محددًا، ويكون العمود users.role افتراضيًا هو «Admin»، فإن الحسابات التي تم إنشاؤها حديثًا تُمنح امتيازات المسؤول الكاملة. وقد يؤدي ذلك إلى الوصول غير المصرح به إلى بيانات اعتماد الأجهزة المخزنة وبيانات المستخدمين وإصدار رموز API.

قم بتحديث rConfig إلى الإصدار 8.2.13 أو أحدث.

كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى نقطة النهاية POST /register.